g-docweb-display Portlet

Audizione di Antonello Soro, Presidente del Garante per la protezione dei dati personali, sul disegno di legge n. 920, recante interventi per la concretezza delle azioni delle pubbliche amministrazioni e la prevenzione dell'assenteismo

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

Audizione di Antonello Soro, Presidente del Garante per la protezione dei dati personali, sul disegno di legge n. 920, recante interventi per la concretezza delle azioni delle pubbliche amministrazioni e la prevenzione dell'assenteismo

presso la Commissione 11a Lavoro pubblico e privato, previdenza sociale del Senato della Repubblica (27 novembre 2018)

(testo dell'intervento)

 

1. Necessità e proporzionalità nella limitazione dei diritti fondamentali 

Ringrazio la Commissione per quest’occasione di confronto, su di un tema la cui complessità abbiamo già avuto modo di segnalare in sede di parere reso su richiesta del Governo. In questa sede, sarà possibile un ulteriore approfondimento (in particolare, sull’articolo 2), funzionale alla garanzia della piena conformità della legislazione degli Stati membri alla disciplina europea in materia di protezione dati, cui è appunto preordinato il parere delle Autorità sugli atti legislativi, previsto come obbligatorio dal Regolamento generale sulla protezione dei dati (infra: Regolamento) e, per il settore della giustizia penale e della polizia, dalla direttiva 2016/680. 

Si tratta di una previsione importante, che dimostra come la stessa potestà legislativa sia vincolata all’osservanza dei principi sanciti in materia di protezione dati dalle fonti europee. La ratio del parere obbligatorio  del Garante, sulla normazione primaria suscettibile di incidere sul diritto alla protezione dei dati personali, risiede proprio qui. Nell’esigenza, cioè, di assicurare il rispetto, da parte del legislatore nazionale, delle condizioni e dei limiti necessari, secondo il parametro europeo, a garantire il doveroso bilanciamento tra il diritto alla protezione dati e i beni giuridici suscettibili di venire di volta in volta in rilievo. 

Come sempre avviene per i diritti fondamentali, tale bilanciamento deve essere condotto secondo il canone della proporzionalità, che in particolare nella materia della protezione dati ha assunto un ruolo centrale proprio in ragione dell’esigenza di garantirne quella  essenziale “funzione sociale” cui allude il cons. 4 del Regolamento. 

Nel contesto della protezione dati, infatti, il principio di proporzionalità assume una funzione duplice. Da un lato esso assurge a criterio regolativo essenziale nello svolgimento, da parte del titolare, del trattamento, per quanto concerne in particolare la scelta sul quantum e il quomodo dei dati trattati. Per altro verso, il principio di proporzionalità rappresenta un parametro generale di legittimità delle limitazioni del diritto alla protezione dati, da osservare - in conformità ai canoni di cui al 52 della Carta di Nizza - anche in sede di esercizio del potere legislativo.  

Ai sensi del citato articolo 52, paragrafo 1, le limitazioni all’esercizio dei diritti e delle libertà riconosciuti dalla Carta e, di conseguenza, all’esercizio del diritto alla protezione dei dati personali, sono infatti ammissibili solo se: 

  • previste dalla legge;
  • rispettose del contenuto essenziale del diritto alla protezione dei dati;
  • necessarie nel rispetto del principio di proporzionalità;
  • rispondenti a finalità d’interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui.

Per quanto poi concerne il Consiglio d’Europa, l’art. 5, par.1 della Convenzione n. 108 del 1981  come recentemente emendato, sancisce un requisito di proporzionalità per il trattamento dei dati personali in relazione allo scopo legittimo perseguito, esigendo un giusto equilibrio fra gli interessi in gioco, in tutte le fasi del trattamento. Questo significa che “dati personali che sarebbero adeguati e pertinenti, ma implicherebbero un’ingerenza sproporzionata nei diritti e nelle libertà fondamentali in gioco, devono essere considerati eccessivi” (1).

Il Regolamento, inoltre, riferisce il canone di proporzionalità alla stessa previsione normativa del trattamento, che deve appunto essere proporzionata rispetto al legittimo obiettivo perseguito, sulla scorta di un principio affermato da una consolidata giurisprudenza della Corte di giustizia e della Corte europea dei diritti umani  (art. 6, paragrafo 3, lettera b); cfr. Corte di Giustizia, 9 novembre 2010, cause riunite C-92/09 e C-93/09, Volker und Markus Schecke; 8 aprile 2004, C- 203/12 e C-594/12, Digital Rights Ireland; 21 dicembre 2016, Tele2 Sverige, C-203/15 e 698/15 nonché, per quanto concerne la Corte europea dei diritti umani, in ordine al canone di proporzionalità in via generale, cfr., in particolare, sez. II, sent. 28 novembre 2017, ric. n. 70838-13; Grande Camera, 5 settembre 2017, Bărbulescu c. Romania (n. 61496/08).

Tali previsioni declinano, dunque, all’interno del Regolamento il criterio di “necessità nel rispetto del principio di proporzionalità” cui l’art. 52 della Carta di Nizza subordina la legittimità delle limitazioni dei diritti dalla stessa sanciti, tra i quali appunto il diritto alla protezione dei dati personali.

Anche rispetto alla proposta normativa in esame, dunque, è determinante accertare se il bilanciamento delineato tra protezione dati e interessi confliggenti (nella specie, condivisibili esigenze di contrasto dell’assenteismo nelle pp.aa.) possa ritenersi conforme al canone di necessità e proporzionalità e tale da non ledere il contenuto essenziale di quel fondamentale diritto “di libertà”, come prescrive l’art. 52 della Carta di Nizza.

2. I dati biometrici nel Regolamento 

Alla luce di questo parametro va dunque letta, in particolare, la previsione di cui all’articolo 2, c.1, ddl, che sancisce in capo a tutte le amministrazioni pubbliche l’obbligo di introdurre - eccetto per il personale in regime di diritto pubblico e per il lavoro agile (2) - sistemi di verifica biometrica dell'identità e di videosorveglianza in sostituzione dei diversi sistemi di rilevazione automatica, attualmente in uso, ai fini della verifica dell'osservanza dell'orario di lavoro e, quindi, di contrasto del fenomeno della falsa attestazione della presenza in servizio.  

Le modalità attuative della norma sono demandate a regolamenti da adottarsi (con decreto Miur per il personale scolastico, con dPCM per ogni altra amministrazione), previo parere del Garante sulle modalità di trattamento dei dati biometrici, nel rispetto delle previsioni di cui all’articolo 9 del Regolamento e delle misure di garanzia definite dal Garante ex art. 2-septies del Codice in materia di protezione dei dati personali (dlgs 196/2003, come modificato dal dlgs 101/2018 recante adeguamento dell’ordinamento interno al Gdpr). Come precisato in Relazione, tali regolamenti stabiliranno anche la specifica tecnologia da impiegare ai fini previsti. 

La norma prevede, quindi, attraverso l’impiego contestuale (e non alternativo) dei relativi sistemi, il trattamento sia di dati personali quali l’immagine della persona (attraverso l’utilizzo di strumenti di videosorveglianza), sia di dati biometrici. Tale tipologia di dati personali è annoverata dal nuovo quadro giuridico europeo tra le categorie particolari di dati personali alle quali è riconosciuta una tutela rafforzata, in ragione dei rischi (di discriminazione, in particolare) ai quali un loro  indebito utilizzo può esporre l’interessato. 

Quello del bilanciamento tra esigenze di certa identificazione ai fini più vari e tutela di dati personali di tale rilevanza è stato un tema su cui il Garante ha avuto modo di pronunciarsi, sinora, in vari contesti, richiamando in ogni caso la necessità di rispettare i principi di proporzionalità, non eccedenza, necessità dei dati trattati e verificando la possibilità di adottare soluzioni alternative meno invasive, per realizzare il risultato perseguito. 

Tuttavia, il nuovo quadro giuridico europeo ha reso tale scrutinio di proporzionalità e di legittimità, in senso più ampio, del trattamento, ancora più stringente, riconducendo – con le implicazioni che illustreremo – i dati biometrici a quelle categorie particolari, appunto, di dati personali, ai quali sono riconosciute maggiori garanzie. 

Per questi dati, infatti, il Gdpr sancisce in linea generale il divieto di trattamento, superabile solo in presenza di alcuni presupposti tra i quali, appunto, la necessità per il titolare di adempiere a un obbligo legale”o di eseguire un compito di interesse pubblico o connesso all’esercizio di pubblici poteri ovvero ancora, segnatamente per i dati biometrici, la necessità del trattamento per l’assolvimento degli obblighi e l’esercizio dei diritti specifici (del titolare del trattamento o dell’interessato stesso) in materia di diritto del lavoro, nella misura in cui sia autorizzato ”dal diritto degli Stati membri”, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi del soggetto passivo (art. 6, par. 1, lett. c) ed e), 3, e articolo 9, par. 2, lett. b), Reg.). 

Lo stesso Regolamento prevede poi una specifica riserva normativa nazionale per la disciplina dei rapporti di lavoro, consentendo a ogni Stato membro di prevedere“norme più specifiche” in materia, comprensive di “misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati” (art. 88, par. 1 e 2, Reg.). 

In linea generale, dunque, i presupposti di legittimità del trattamento dei dati biometrici,  anche (ma non solo) in materia di lavoro, attengono alla sussistenza di una previsione normativa specifica (di rango legislativo o regolamentare a seconda dei casi), alla necessità del trattamento per la realizzazione dei legittimi fini perseguiti, nonché al rispetto di garanzie appropriate. Requisito, quest’ultimo, che il legislatore italiano, in sede di adeguamento al Gdpr, ha valorizzato con la previsione di un provvedimento generale del Garante recante, appunto, le misure di garanzia necessarie per la legittimità del trattamento dei dati genetici, biometrici e relativi alla salute, nell’esercizio del margine di flessibilità concesso sul punto dal legislatore europeo.

3. Le previsioni del disegno di legge alla luce del Gdpr 

In questa cornice, dunque, va iscritta la disciplina proposta dal disegno di legge, verificandone la compatibilità con le disposizioni del Regolamento che costituiscono, come noto, parametri di legittimità della legislazione interna alla stregua dell’ordinamento europeo, anche ai fini del sindacato ex art. 117, primo comma, Cost. 

La previsione legislativa del trattamento, articolata nel dettaglio da parte dei regolamenti attuativi, unitamente al vincolo del rispetto delle misure di garanzia sancite dal Garante ex art. 2-septies, rispetta i requisiti sanciti dal Regolamento, sotto il profilo dell’astratta idoneità della fonte a introdurre tali limitazioni del diritto alla protezione dati. Tuttavia, nel merito, la previsione non appare compatibile con i canoni di necessità e proporzionalità.

Sotto un primo profilo, infatti, la previsione dell’obbligatorio impiego contestuale di due sistemi di verifica del rispetto dell’orario di lavoro (raccolta di dati biometrici e videosorveglianza) eccede i limiti imposti, appunto, dalla stretta necessità del trattamento rispetto al fine perseguito. Se, infatti, presupposto per l’introduzione di un sistema di attestazione della presenza in servizio così invasivo quale quello biometrico è la sua ritenuta efficacia e affidabilità, ne consegue necessariamente l’ultroneità del ricorso contestuale alla videosorveglianza, che nulla potrebbe aggiungere in termini di contrasto di fenomeni elusivi. Sotto questo profilo, quindi, si ribadisce la necessità della previsione alternativa di questi sistemi di verifica del rispetto dell’orario di lavoro. 

Per altro verso, non appare conforme al canone di proporzionalità- come declinato dalla giurisprudenza europea – l’ipotizzata introduzione sistematica, generalizzata e indifferenziata per tutte le pp.aa., di sistemi di rilevazione delle presenze tramite identificazione biometrica, in ragione dei vincoli posti dall’ordinamento europeo sul punto a motivo dell’invasività di tali forme di verifica e delle implicazioni derivanti dalla particolare natura del dato.

Ai fini del rispetto dei principi di necessità e proporzionalità (comunque applicabili anche in presenza della previsione normativa del trattamento, con fonte legislativa o regolamentare), l’utilizzo di tali sistemi di rilevazione biometrica dev’essere reso residuale, applicabile cioè solo ove altri sistemi di rilevazione delle presenze non risultino idonei rispetto agli scopi perseguiti. 

Quello della necessità delle misure limitative del diritto alla protezione dati è, infatti, un principio che la Corte di giustizia (ma anche la Corte Edu) ha più volte valorizzato, ammettendo le misure più invasive solo a fronte dell’inidoneità allo scopo di sistemi meno limitativi del diritto, dal momento che “deroghe e restrizioni” ai diritti fondamentali devono intervenire “entro i limiti dello stretto necessario” (CGUE, C-362/14, Maximillian Schrems c. Data Protection Commissioner [GC], 6 ottobre 2015). Nella sentenza Schecke, ad esempio, la Corte di giustizia ha annullato parzialmente un regolamento europeo che prevedeva la pubblicazione del nome dei beneficiari delle sovvenzioni agricole dell’Unione e degli importi da essi percepiti per violazione dei principi di proporzionalità e necessità, dal momento che erano concepibili misure parimenti efficaci ma meno invasive. 

Il rispetto del canone di proporzionalità- inteso quale giustificazione della limitazione del diritto alla protezione dati in presenza di concrete esigenze in tal senso – esige, poi, di ancorare  l’utilizzo di tali sistemi di rilevazione alla sussistenza di fattori di rischio specifici ovvero a particolari presupposti,quali ad esempio le dimensioni dell’ente, il numero dei dipendenti coinvolti, la ricorrenza di situazioni di criticità che potrebbero essere anche influenzate dal contesto ambientale. La declinazione di tali fattori potrebbe essere demandata ai regolamenti di attuazione, sui quali il Garante dovrà esprimere il parere di competenza. 

L’Air (analisi d’impatto della regolazione) richiama, sul punto, l’esigenza di contrasto di un fenomeno, quale quello della falsa attestazione della presenza in servizio, indubbiamente grave ma rispetto al quale non sembrano emergere dati univoci in ordine alla sua sistematica e generalizzata diffusione nelle pp.aa.. Sul punto, infatti, si rileva soltanto come il 10 % dei provvedimenti di licenziamento disciplinare adottati nell’ultimo anno derivino da falsa attestazione della presenza in servizio; dato di per sé sicuramente rilevante, ma non sintomatico della pervasività generale del fenomeno o comunque tale da giustificare l’adozione, in ciascuna amministrazione pubblica, di un sistema di rilevazione della presenza in servizio così invasivo.

Pertanto, l’astratta, generalizzata e indifferenziata presunzione normativa di sussistenza, per tutte le pp.aa, di fattori di rischio tali da far ritenere quello biometrico l’unico sistema in grado di assicurare il rispetto dell’orario di lavoro non appare compatibile con il principio di proporzionalità. 

Per realizzare il condivisibile fine del contrasto dell’assenteismo e della falsa attestazione della presenza in servizio dovrebbe, pertanto, farsi previo ricorso a misure meno limitative del diritto alla protezione dei dati, utilizzando i sistemi di rilevazione biometrica, in presenza di fattori di rischio specifici, qualora soluzioni meno invasive debbano ragionevolmente ritenersi inidonee allo scopo.

 

________________________

(1) Comitato ad hoc sulla protezione dei dati (CAHDATA), relazione esplicativa della Convenzione modernizzata sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale, punto 50.

(2) Come suggerisce la stessa nota di lettura, va invece chiarita l’applicabilità della disposizione in esame al personale dirigenziale, coordinandone la generalità della previsione con quanto sancito dall’articolo 2, comma 2.