di avv. Graziano Garrisi – Digital & Law Department 

Il nuovo DDL sulle semplificazioni attualmente all’attenzione del Parlamento (“Nuove disposizioni di semplificazione amministrativa a favore dei cittadini e delle imprese”) all’art. 17 dovrebbe introdurre importanti novità sul fronte privacy.
Analizzando con più attenzione si rileva che in sostanza questo intervento legislativo si fonda sul principio cardine che la normativa sul trattamento dei dati personali non verrà applicata a chi effettua un trattamento di dati nell’esercizio dell’attività di impresa, anche di natura individuale.
Sembra proprio, quindi, che non si stia fermando neanche in questo caso il lungo processo di sgretolamento e scarnificazione che il Codice Privacy sta subendo negli ultimi anni e che, di fatto, lo ha svuotato di rilevanti contenuti.
Vediamo nello specifico di cosa si tratta:

Art. 17 Semplificazioni in materia di privacy
1. Al decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:
a) all’articolo 5, dopo il comma 3, è aggiunto il seguente: “”3-bis. Il trattamento dei dati personali di chi agisce nell’esercizio dell’attività di impresa, anche individuale, non è soggetto all’applicazione del presente codice. Sono fatte salve le disposizioni di cui alla Parte II, Titolo X del presente codice relativamente al trattamento di dati riguardanti contraenti ed utenti di servizi di comunicazioni elettroniche.”;
b) l’articolo 36 è sostituito dal seguente: “Art. 36 (Adeguamento) – 1. Il disciplinare tecnico di cui all’allegato B), relativo alle misure minime di cui al presente capo, è aggiornato periodicamente con decreto del Ministro della giustizia di concerto con il Ministro per la pubblica amministrazione e la semplificazione, previo parere del Garante, ai sensi dell’articolo 154, comma 5, e sentite le associazioni rappresentative a livello nazionale delle categorie economiche coinvolte, in relazione all’evoluzione tecnica e all’esperienza maturata nel settore, anche individuando modalità semplificate di adozione delle misure minime in caso di trattamenti effettuati in particolare presso piccole e medie imprese, liberi professionisti e artigiani”.

Al fine di semplificare gli adempimenti per le imprese, infatti, la nuova modifica dovrebbe escludere dall’applicazione (ovvero dagli obblighi/adempimenti e, quindi, anche dalle tutele) del Codice Privacy non solo le società, ma anche le persone fisiche che agiscono nell’esercizio della propria attività imprenditoriale, commerciale, artigianale o professionale.
Viene fatta salva solo la tutela prevista per i trattamenti di dati effettuati nel settore delle telecomunicazioni e delle comunicazioni elettroniche (telefonate indesiderate, fax pubblicitari, spamming, etc.), come disciplinati nella Parte II, Titolo X del Codice Privacy. Contraenti e utenti (persone giuridiche e fisiche), pertanto, saranno ancora soggetti all’applicazione del Codice Privacy e, quindi, ai consueti obblighi e diritti. 

A ben vedere, tuttavia, questa modifica non deve tradursi in un generale esonero per le imprese dall’ambito di applicazione delle misure di sicurezza in ambito privacy, in quanto anche nell’esercizio dell’attività di impresa possono essere trattati dati di persone fisiche: da ciò discende  da un lato il diritto ineliminabile di queste ultime a essere tutelate ai sensi del Codice Privacy, dall’altro l’impossibilità per l’imprenditore di eliminare o attenuare le difese logiche e fisiche che la normativa impone a tutela degli interessati. Si tratta sostanzialmente di un esonero totale, ma limitato al rapporto c.d. B2B, laddove nessuna garanzia di riservatezza o obblighi formali a cui adempiere (informative e richieste di consenso) viene richiesta ai titolari del trattamento. Nei confronti dell’interessato/persona fisica, infatti, in applicazione delle definizioni degli artt. 4 e art. 5 comma 3 del Codice Privacy, restano in vigore tutti gli obblighi, compreso quelli in tema di responsabilità e sicurezza dei dati di cui agli articoli 15 e 31 dello stesso Codice.

L’Autorità Garante per la protezione dei dati personali ha già espresso forti preoccupazioni in merito, in quanto escludere dall’applicazione del Codice Privacy coloro che agiscono nell’esercizio dell’attività imprenditoriale, anche individuale, non significa semplificare la vita degli imprenditori, bensì privarli, in quanto persone fisiche, di ogni garanzia rispetto al trattamento dei loro dati (a dispetto di ogni valutazione circa la peculiarità e la delicatezza che contraddistinguono tali trattamenti); il Garante non nasconde neppure le proprie perplessità a causa di contrasto del DL Semplificazioni con la normativa europea annunciando che, se il testo venisse confermato, non si esimerebbe dal sollevare la questione di legittimità in sede comunitaria. Si ricorda, infatti, che una tale modifica si porrebbe in palese contrasto con i princìpi europei che vedono ancora al centro della tutela la persona fisica (con esclusione delle imprese e delle P.A.) in qualsiasi sua accezione.
Anche le continue modifiche al Codice Privacy, come giustamente affermato dall’Autorità Garante, operate in maniera non organica (e – si aggiunge – spesso contraddittoria rispetto alla stessa legislazione comunitaria e nazionale), espongono i titolari e, soprattutto, i responsabili del trattamento (braccio operativo che dovrebbe rendere effettive le misure organizzative e di sicurezza all’interno della propria organizzazione di appartenenza) a difficoltà applicative e dubbi interpretativi tali da vanificare le stesse finalità di semplificazione che si intendono perseguire.

A conferma di quanto sopra esposto e dei notevoli effetti negativi che tale riforma potrebbe causare, anche l’ex Presidente dell’Autorità Garante Privacy Stefano Rodotà ha giustamente affermato che “l’iniziativa economica privata non può svolgersi in contrasto con la sicurezza, la libertà e la dignità umana”, ribadendo ulteriormente anche come l’attuale panorama normativo italiano in materia di privacy rischi ora di essere in contrasto con il diritto dell’Unione europea, esponendo il nostro paese alla possibilità di subire una procedura di infrazione.
La speranza è ora riposta nel Parlamento, il quale si auspica possa correggere il tiro e salvare dallo sgretolamento una serie di norme che, in ogni caso, saranno a breve sostituite da un legislatore più attento e competente come quello comunitario: non a caso, lo stesso Rodotà paragona questa nuova modifica proposta da un Governo che dovrebbe essere “tecnico” a un “rifugio in un’epoca non solo pre-direttiva europea, ma pre-tecnologica”. Speriamo proprio di non doverci presto ritrovare in una nuova ERA GLACIALE della Privacy.