Le limitazioni dei diritti degli interessati

Come noto il regolamento UE n. 2016/679 sulla protezione dei dati personali (GDPR) riconosce dagli artt. 15 a 22 tutta una serie di diritti a favore degli interessati nei confronti del titolare e del responsabile del trattamento che rappresentano una delle principali novità della normativa comunitaria molto attenta a tutelare le ragioni dell’interessato. Lo stesso art. 23 del GDPR, però, sottolinea che il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare tutta una serie di interessi considerati primari e che nell’ottica del principio del pari grado vanno preferiti alle ragioni dell’interessato.

L’art. 2 del d.lgs. n. 101/2018, con il quale il nostro paese ha adeguato la propria normativa nazionale al GDPR, introducendo l’art. 2-undecies nel codice in materia di protezione dei dati personali (d.lgs. n. 196/2003) ritorna sull’argomento cogliendo l’opportunità fornita dallo stesso legislatore comunitario e chiarisce che i diritti di cui agli articoli da 15 a 22 del Regolamento non possono essere esercitati con richiesta al titolare del trattamento ovvero con reclamo ai sensi dell’articolo 77 del Regolamento qualora dall’esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto:

a) agli interessi tutelati in base alle disposizioni in materia di riciclaggio;

b) agli interessi tutelati in base alle disposizioni in materia di sostegno alle vittime di richieste estorsive;

c) all’attività di Commissioni parlamentari d’inchiesta istituite ai sensi dell’articolo 82 della Costituzione;

d) alle attività svolte da un soggetto pubblico, diverso dagli enti pubblici economici, in base ad espressa disposizione di legge, per esclusive finalità inerenti alla politica monetaria e valutaria, al sistema dei pagamenti, al controllo degli intermediari e dei mercati creditizi e finanziari, nonché alla tutela della loro stabilità;

e) allo svolgimento delle investigazioni difensive o all’esercizio di un diritto in sede giudiziaria;

f) alla riservatezza dell’identità del dipendente che segnala ai sensi della legge 30 novembre 2017, n. 179, l’illecito di cui sia venuto a conoscenza in ragione del proprio ufficio. In quest’ultimo caso è chiaro il riferimento al whistleblowing che di recente ha trovato riconoscimento nel nostro ordinamento con la legge sopra menzionata.

La norma specifica che nei casi elencati ad eccezione dell’attività delle Commissioni parlamentari i diritti sono esercitati conformemente alle disposizioni di legge o di regolamento che regolano il settore, che devono almeno recare misure dirette a disciplinare gli ambiti di cui all’articolo 23, paragrafo 2, del GDPR. L’esercizio dei medesimi diritti può, in ogni caso, essere ritardato, limitato o escluso con comunicazione motivata e resa senza ritardo all’interessato, a meno che la comunicazione possa compromettere la finalità della limitazione, per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, tenuto conto dei diritti fondamentali e dei legittimi interessi dell’interessato, al fine di salvaguardare gli interessi evidenziati nella disposizione in esame.

In tali casi, i diritti dell’interessato possono essere esercitati anche tramite il Garante con le modalità di cui all’articolo 160 del Codice. In tale ipotesi, il Garante informa l’interessato di aver eseguito tutte le verifiche necessarie o di aver svolto un riesame, nonché del diritto dell’interessato di proporre ricorso giurisdizionale.

Con riferimento, poi,  ai trattamenti di dati personali effettuati per ragioni di giustizia nell’ambito di procedimenti dinanzi agli uffici giudiziari di ogni ordine e grado nonché dinanzi al Consiglio superiore della magistratura e agli altri organi di autogoverno delle magistrature speciali o presso il Ministero della giustizia, l’art. 2-duodecies introdotto sempre dal d.lgs. n. 101/2018 nel rispetto di quanto sancito dall’art. 23, paragrafo 1, lettera f), del Regolamento evidenzia che l’esercizio dei diritti e l’adempimento degli obblighi di cui agli articoli da 12 a 22 e 34 del Regolamento possono, in ogni caso, essere ritardati, limitati o esclusi, con comunicazione motivata e resa senza ritardo all’interessato, a meno che la comunicazione possa compromettere la finalità della limitazione, nella misura e per il tempo in cui ciò costituisca una misura necessaria e proporzionata, tenuto conto dei diritti fondamentali e dei legittimi interessi dell’interessato, per salvaguardare l’indipendenza della magistratura e dei procedimenti giudiziari.

Si tratta di una disposizione che ha la stessa ratio di quella precedente e che assume una rilevanza autonoma in considerazione della delicatezza della materia che però si ricorda è già oggetto di una specifica normativa (d.lgs. n. 51/2018) con la quale il nostro paese ha recepito la direttiva comunitaria n. 2016/680.

L’art. 2-duodecies precisa che si intendono effettuati per ragioni di giustizia i trattamenti di dati personali correlati alla trattazione giudiziaria di affari e di controversie, i trattamenti effettuati in materia di trattamento giuridico ed economico del personale di magistratura, nonché i trattamenti svolti nell’ambito delle attività ispettive su uffici giudiziari. Le ragioni di giustizia, naturalmente, non ricorrono per l’ordinaria attività amministrativo-gestionale di personale, mezzi o strutture, quando non è pregiudicata la segretezza di atti direttamente connessi alla trattazione giudiziaria di procedimenti.

Probabilmente questa disposizione avrebbe trovato una sistemazione più organica nello stesso d.lgs. n. 51, o quanto meno sarebbe stato opportuno un richiamo a questa normativa di recepimento.