Parere del Comitato economico e sociale in merito alla "Proposta di regolamento del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati"

(2000/C 51/13)

Il Consiglio, in data 29 settembre 1999, ha deciso, conformemente al disposto dell'art. 262 del Trattato che istituisce la Comunità europea, di consultare il Comitato economico e sociale in merito alla proposta di cui sopra.

La Sezione "Occupazione, affari sociali, cittadinanza", incaricata di preparare i lavori del Comitato in materia, ha formulato il parere sulla base del rapporto introduttivo del relatore unico Retureau, in data 12 novembre 1999.

Il Comitato economico e sociale ha adottato l'8 dicembre 1999, nel corso della 368a sessione plenaria, con 117 voti favorevoli e 2 astensioni il seguente parere.

1. Base giuridica, contenuto e portata della proposta

1.1. La base giuridica e la motivazione della proposta di regolamento sono chiaramente esposte. Si tratta in effetti dell'applicazione della Direttiva 95/45/CE(1) del 24 ottobre 1995 alle istituzioni e agli organi comunitari in relazione alle loro attività di trattamento e di trasferimento dei dati personali.

1.2. Il trattamento dei dati personali è un'operazione praticata correntemente dalle istituzioni e dagli organi comunitari, in special modo dalla Commissione, nell'ambito della loro attività. La Commissione procede allo scambio di dati personali con gli Stati membri nel quadro della politica agricola comune, per la gestione del regime doganale, dei fondi strutturali e di altre politiche comunitarie.

1.3. Nell'adottare la Direttiva 95/46/CE, la Commissione e il Consiglio si sono impegnati a rispettarla e hanno invitato le altre istituzioni e organi comunitari a fare altrettanto (dichiarazione comune del 24 ottobre 1995). In pratica, le disposizioni della direttiva sono applicabili agli organi comunitari già da tale data.

1.4. Con l'entrata in vigore del Trattato di Amsterdam, il Trattato che istituisce la Comunità europea è stato integrato da una disposizione specifica, l'articolo 286, il quale prevede che a decorrere dal 1o gennaio 1999 le istituzioni e gli organi comunitari istituiti dal Trattato CE applichino le norme comunitarie sulla protezione dei dati personali, stabilite in prevalenza dalla Direttiva 95/46/CE e dalla Direttiva 97/66/CE(2), e inoltre che sull'applicazione di dette norme vigili un organo di controllo indipendente, creato conformemente alla procedura di cui all'articolo 251. Si tratta della novità più rilevante dell'attuale proposta di regolamento.

1.5. La proposta di regolamento in esame mira a conseguire tale duplice obiettivo (con un certo ritardo rispetto alla data d'applicazione prevista dal TUE).

1.6. Alcune questioni importanti appaiono però difficili da analizzare nel contesto dell'attuale proposta.

1.7. Una di esse è la definizione delle istituzioni e degli organi comunitari soggetti al regolamento. Nell'elenco allegato alla proposta, l'Europol è palesemente esclusa dalle disposizioni previste. Al riguardo, ci si può chiedere se la rete informatica di Schengen e la relativa autorità specifica di vigilanza debbano rimanere disgiunte o se si possa prevedere una loro unificazione. Altrettanto dicasi per gli altri organi del terzo pilastro.

1.8. Un altro aspetto importante è quello riguardante i funzionari, e più in generale le persone impiegate dalle istituzioni e dagli organi comunitari, le quali ricadono altresì nel disposto delle norme proposte. Nondimeno, non risulta molto chiaro in che modo si possano contemperare tali norme con quelle dello Statuto della funzione pubblica europea (per quanto negli allegati sia previsto l'intervento dei comitati del personale): i rappresentanti del personale sono stati consultati? Il trattamento dei dati personali relativi al personale non dovrebbe formare oggetto di disposizioni specifiche a sé stanti al fine di proteggere nel modo più efficace possibile la sfera privata e i diritti delle persone impiegate dalle Comunità, a partire dal formulario di assunzione e lungo tutto l'arco della carriera o per tutta la durata del contratto, nonché al momento del suo eventuale rinnovo?

1.9. Infine, la proposta riguarda unicamente le persone fisiche. Ciò riflette i limiti della direttiva del 1995, la quale esclude le persone giuridiche de jure e de facto che formano però oggetto della raccolta e del trattamento di dati. Si sottolinea tuttavia che le persone giuridiche sono soggette alla direttiva del 1995 nella misura in cui trattano o dispongono di dati personali relativi a persone fisiche. Nondimeno, per quanto la proposta in esame disciplini unicamente il trattamento e la divulgazione, da parte delle istituzioni comunitarie, di dati che possono concernere persone fisiche o giuridiche, la tutela prevista riguarda solo le persone fisiche.

2. Osservazioni generali

2.1. Il Consiglio, che naturalmente ha tutto il diritto di stabilire una data limite per la consegna dei pareri, ha fissato un termine molto breve per la presentazione del parere del CES su una proposta di regolamento complessa e importante, poiché riguarda la protezione dei diritti dell'uomo nel contesto del trattamento e della circolazione dei dati personali.

2.1.1. Il Comitato avrebbe voluto disporre di un lasso di tempo più ampio per poter partecipare in maniera più incisiva a un iter legislativo facente capo alla procedura di codecisione, e che riguarda in maniera diretta numerosi membri delle organizzazioni economiche e sociali da esso rappresentate.

2.2. Il Comitato ha già avuto modo di pronunciarsi in un suo precedente parere(3)

a) su due proposte di direttiva del Consiglio riguardanti:

- la protezione delle persone relativamente al trattamento dei dati personali;

- la protezione dei dati personali e della vita privata nell'ambito delle reti digitali pubbliche di telecomunicazione;

b) su una proposta di decisione del Consiglio in materia di sicurezza dei sistemi di informazione.

2.3. I principi generali relativi al trattamento dei dati personali e alle garanzie indispensabili per il rispetto dei diritti individuali e della vita privata, esposti dal Comitato nel summenzionato parere, mantengono il loro carattere attuale e la loro pertinenza anche per quanto concerne la proposta di regolamento in esame. Essi sono conformi alla Convenzione n. 108 del Consiglio d'Europa(4), la quale deve fungere da guida per la valutazione della proposta di regolamento, unitamente alle legislazioni e alle prassi in vigore negli Stati membri, e alla direttiva del 1995.

2.3.1. Il Comitato esorta il Consiglio a far riferimento ai principi e alle proposte indicate nel suo parere del 1991 e nel presente documento, a prenderli pienamente in considerazione onde progredire per quanto possibile rispetto alla direttiva del 1995, tenuto conto delle limitazioni poste dalla base giuridica, e ad ogni modo a tenerli presenti al momento di riesaminare la direttiva per una sua eventuale revisione in vista del 2001.

2.3.2. Il Comitato reputa infatti che le istituzioni e gli organi della Comunità debbano offrire il massimo grado di protezione e di garanzia nell'ambito del trattamento dei dati personali, richiamandosi alle norme internazionali e alle legislazioni nazionali più avanzate, nonché alle migliori pratiche degli Stati membri in materia, al fine di dare l'esempio e di promuovere un'armonizzazione verso l'alto, tanto più che la proposta concerne non solo il trattamento dei dati, ma anche la libera circolazione degli stessi e dei prodotti del loro trattamento tanto all'interno quanto all'esterno dell'Unione.

2.4. Il rapido sviluppo delle tecnologie dell'informazione e della comunicazione, l'aumento delle possibilità di memorizzazione permanente dei dati su supporti diversi, il sempre maggiore affinamento delle tecniche di trattamento e di interconnessione, come pure lo sviluppo dei sistemi di trasferimento e di accesso all'informazione rendono ancora più necessario rafforzare la protezione e le garanzie per le persone interessate, tenuto conto del principio della libera circolazione dei dati.

2.4.1. Viceversa, tali sviluppi tecnologici e metodologici offrono anche nuove possibilità per quanto riguarda la protezione dagli accessi non autorizzati, la sicurezza del trasferimento, la tutela della vita privata e l'esercizio dei diritti individuali, ivi compresi i diritti di accesso, di rettifica o di opposizione all'utilizzo o alla diffusione dei dati personali. Al riguardo bisogna considerare lo stato delle tecniche disponibili, anziché il loro costo, a meno che quest'ultimo non si riveli sproporzionato rispetto al livello di sicurezza da raggiungere.

2.4.2. La protezione dei diritti individuali e le garanzie offerte ai cittadini vanno integrate appieno nella concezione degli strumenti e dei metodi di raccolta, di trattamento, di utilizzo e di trasferimento dei dati. Ogni persona coinvolta in queste varie fasi, dalla raccolta sino all'utilizzazione finale, deve soddisfare criteri rigorosi di competenza e di riservatezza, la cui eventuale violazione va sanzionata in modo sufficientemente dissuasivo. Sostanzialmente la proposta va in questa direzione e nel complesso costituisce, a giudizio del Comitato, uno strumento di protezione che, in generale, prevede garanzie e possibilità soddisfacenti di accesso e di ricorso amministrativo e giurisdizionale.

2.4.3. Rispetto alla direttiva del 1995 vanno rilevati alcuni progressi come, ad esempio, la possibilità di accedere gratuitamente ai dati. Va notato altresì che la proposta è corredata di disposizioni precise e chiare, come quelle che riguardano la definizione dei dati delicati e delle modalità di trattamento vietate, la definizione univoca del concetto di garanzie "adeguate" per il trasferimento dei dati verso paesi o organismi non soggetti alla direttiva del 1995, l'inclusione di tutte le forme possibili di trattamento di dati, o l'istituzione di autorità indipendenti di vigilanza in ogni istituzione e organo comunitario, il che consente un controllo a priori in grado di tutelare i diritti, la libertà e la vita privata in maniera più efficace rispetto ai controlli a posteriori.

2.4.4. Talune disposizioni dovrebbero essere migliorate, ma il Comitato è consapevole che il testo predisposto dalla Commissione non può oltrepassare il quadro della direttiva del 1995, di cui esso aveva già messo in rilievo certe carenze. In particolare, bisognerebbe farne beneficiare le persone giuridiche e anche le associazioni il cui status giuridico non le rende soggette a norme protettive specifiche, come quelle in materia di riservatezza e di rispetto dell'immagine di marca delle imprese. Una siffatta protezione andrebbe garantita ad ogni modo cercando di trovare i sistemi appropriati per realizzarla. Dovrebbero inoltre essere migliorate le disposizioni proposte per ciò che riguarda le autorità indipendenti, in merito alle quali il potere legislativo del Consiglio e del Parlamento europeo è assoluto.

2.5. Secondo il Comitato tutte le misure previste, dalla raccolta al trattamento e al trasferimento dei dati, devono far capo a obiettivi rigorosamente definiti e controllati a priori, i quali a loro volta devono rispondere ai criteri di legalità che figurano giustamente nella proposta, ed essere indispensabili per l'attività degli organi e delle istituzioni competenti.

2.6. Per quanto concerne il personale impiegato dalle istituzioni e dagli organi comunitari, il Comitato reputa che un capitolo specifico andrebbe dedicato alla protezione dei dati personali che li riguardano e al rispetto della loro vita privata. Tale capitolo dovrebbe almeno concedere al futuro garante europeo la facoltà di stabilire, previa consultazione degli organi di rappresentanza del personale, le domande che non è lecito porre al momento dell'assunzione, specie in materia di salute, di impedire che si possa chiedere alle donne se sono incinte, e di regolamentare i limiti al contenuto dei fascicoli individuali. Al riguardo, sarebbe opportuno ispirarsi alla raccolta di orientamenti pratici dell'OIL sulla protezione dei dati personali dei lavoratori, nonché alla Raccomandazione n. 171 dell'OIL relativa ai servizi per la sanità sul posto di lavoro (1985).

2.7. Riguardo alle istituzioni e agli organi interessati, il Comitato constata che la proposta concerne effettivamente tutto l'ambito comunitario e approva quindi l'interpretazione dell'art. 286 del Trattato per quanto riguarda il campo d'applicazione che si estende a tutte le istituzioni. Un'interpretazione restrittiva che avesse escluso ad esempio l'Euratom o la CECA dal campo d'applicazione avrebbe avuto effetti aberranti e contrari agli obiettivi perseguiti.

2.8. Tuttavia, con la graduale inclusione nel diritto comunitario delle politiche del terzo pilastro (che non formano oggetto della direttiva del 1995) e tenuto conto della necessità di disporre di uno strumento orizzontale relativo anche ai dati raccolti, trattati e trasferiti in materia di cooperazione giudiziaria e di polizia, il Comitato suggerisce che le competenze del garante europeo della protezione dei dati siano estese sin d'ora al sistema di informazione di Schengen e, gradualmente, a tutte le convenzioni facenti capo al terzo pilastro, nell'ambito delle quali la protezione dei dati è attualmente concepita in maniera autonoma, con norme e organi di controllo specifici, seppure fondati su principi comuni. Resta inoltre da creare una tale protezione in materia di cooperazione giudiziaria, dove non è stata ancora prevista. Ciò renderà eventualmente necessario integrare le suddette convenzioni con protocolli aggiuntivi.

2.9. Pertanto, sulla base delle osservazioni generali che precedono e tenuto conto di tutti gli elementi nuovi e degli sviluppi registratisi rispetto al parere precedente, il Comitato, pur constatando la presenza di numerosi approcci positivi e interessanti, presenta alcune proposte e raccomandazioni più precise e circostanziate nelle osservazioni particolari, rispettando l'ordine dei capitoli e degli allegati della proposta.

3. Osservazioni e raccomandazioni particolari

3.1. Articolo 2, lettera c), definizioni. L'archivio è definito come un "insieme strutturato di dati"; non è necessario che i dati siano strutturati per poter essere trattati e sfruttati; basterebbe perciò parlare di un insieme di dati personali o individuali.

3.2. Articolo 4, lettera d), qualità dei dati. Nei limiti del "ragionevole" va preso ogni provvedimento che consenta di cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono stati trattati; si dovrebbe dire piuttosto "nei limiti del possibile".

3.2.1. Articolo 5, lettera d), liceità del trattamento. Il Comitato approva tali criteri di legalità, ma ritiene che in proposito si dovrebbe parlare di "consenso informato".

3.3. Articolo 6, trattamento supplementare. Quando un trattamento è effettuato con finalità diverse da quelle iniziali, le persone interessate dovrebbero essere informate a priori di tale eventualità, al momento della raccolta o allorquando è stata presa questa nuova decisione.

3.4. Articolo 9, trasferimento di dati.

3.4.1. Paragrafi da 1 a 4: quando i dati vengono trasferiti a persone o a organismi non soggetti alla Direttiva 95/46/CE o a paesi che non abbiano ratificato la Convenzione 108 del Consiglio d'Europa, si dovrebbe assicurare in via preliminare che il livello di tutela è equivalente (e non solo "adeguato", come recita il testo della direttiva). Ciò nondimeno il Comitato constata che le disposizioni pratiche previste in materia di adeguatezza assicurano un alto livello di tutela.

3.4.2. Paragrafi 5 e 6: il garante europeo della protezione dei dati (GEPD) dovrebbe venir informato a priori di tali deroghe per essere messo in grado di opporvisi, se necessario.

3.5. Articolo 10, paragrafo 1, trattamenti vietati. La formulazione è più radicale di quella dell'articolo 6 della Convenzione 108 del Consiglio d'Europa, salvo per quanto riguarda le condanne penali che al paragrafo 5 dello stesso articolo sono trattate in modo più restrittivo (non sono vietate in modo assoluto). Il Comitato preferirebbe una formulazione maggiormente dettagliata, come: "È vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche e, più in generale, qualsiasi convinzione od opinione che non siano qualificate di criminali nei confronti del diritto internazionale, l'appartenenza sindacale, come pure trattare dati relativi alla salute, al patrimonio genetico e alla vita sessuale". Anche se la nozione di patrimonio genetico dovrebbe essere intesa come facente parte dei dati sulla salute, al momento della revisione della direttiva sarebbe forse opportuno riesaminare la formulazione relativa alle modalità di trattamento proibite.

3.6. Articolo 17, notificazione a terzi. La possibilità di deroga al dovere di notificazione di rettifiche o di congelamenti dei dati è definita in modo troppo vago e troppo lato.

3.7. Articolo 23, paragrafo 1, sicurezza delle operazioni di trattamento. Il responsabile del trattamento dovrebbe assicurare il livello di sicurezza più elevato possibile al momento del trattamento e della trasmissione dei dati, tenuto conto dell'evoluzione delle tecniche disponibili e nella misura in cui i costi non siano sproporzionati rispetto al livello di sicurezza da raggiungere.

3.8. Articolo 25. Mandato a un responsabile della protezione dei dati personali, e allegati I e II.

3.8.1. La questione principale è quella dell'indipendenza e della qualifica delle persone designate dalle istituzioni e dagli organi che raccolgono, trattano e trasmettono dati personali.

3.8.2. Le disposizioni previste proteggono queste persone da qualsiasi pressione esercitata dalle autorità che le hanno nominate e che sono anche loro superiori gerarchici e nei cui confronti si trovano in un rapporto di subordinazione.

3.8.3. Nell'ambito delle loro mansioni relative alla protezione dei dati, esse devono essere espressamente distaccate da tale rapporto di subordinazione e dipendere esclusivamente dal garante europeo(5). La loro funzione non dovrebbe essere soggetta a valutazione o al rapporto informativo da parte delle autorità gerarchiche né influire negativamente sulla loro carriera in caso di conflitto con dette autorità su questioni legate alla protezione dei dati. La durata del loro mandato dovrebbe essere più lunga per meglio garantirne l'indipendenza e permettere loro di agire nel tempo e nella sicurezza.

3.8.4. La parte dell'orario di lavoro che i responsabili dedicheranno alla protezione dei dati (valutata al 5 % in generale e al 10 % in via eccezionale), nonché le risorse messe a loro disposizione sembrano a prima vista piuttosto limitate. Occorre concedere loro sufficiente margine di manovra e flessibilità perché possano esercitare pienamente le loro funzioni; vanno inoltre previste risorse umane e materiali appropriate, in funzione delle necessità.

3.9. Articolo 28. Controllo preventivo da parte del garante europeo della protezione dei dati (GEPD).

3.9.1. Si dovrebbe stabilire il principio in base al quale qualsiasi trattamento che possa presentare rischi particolari nei confronti dei diritti e delle libertà delle persone interessate dovrebbe essere sottoposto ad un esame preventivo da parte del garante. L'esistenza o l'attuazione di trattamenti di dati "delicati" richiedono invero una riflessione preliminare approfondita e l'intervento di un'autorità indipendente, come previsto appunto dal testo, trattandosi di una garanzia fondamentale.

3.9.2. Si dovrebbero però aggiungere alcuni trattamenti all'elenco previsto e, comunque, il GEPD deve esaminare preventivamente situazioni come:

- i trattamenti che implicano un nuovo uso delle tecnologie esistenti;

- i punti supplementari proposti dal Comitato per l'articolo 10;

- i trattamenti in relazione alla polizia, alla sicurezza, al diritto penale, all'immigrazione e al soggiorno di extracomunitari (ad esempio rilascio di visti, regolarità del soggiorno);

- i trattamenti che utilizzano mezzi d'identificazione di portata generale;

- le interconnessioni tra schedari aventi finalità distinte;

- i trattamenti di dati raccolti per altre finalità;

- le condizioni di attuazione, di trattamenti che derogano ai principi di tutela delle persone;

- i trattamenti ricorrenti o che richiedono trasferimenti internazionali di dati al di fuori dell'UE;

- le indagini statistiche aventi carattere obbligatorio e quelle concernenti intere categorie di popolazione o di professioni.

3.10. Articolo 32: Sicurezza nel quadro delle reti interne di telecomunicazioni. Alla fine del paragrafo 1 il Comitato raccomanda la seguente formulazione: "Tenuto conto della situazione e dell'evoluzione tecnica ed eventualmente dei costi da sostenere per adeguarvisi, se risultassero sproporzionati rispetto agli obiettivi perseguiti, i suddetti provvedimenti devono assicurare un livello di sicurezza adeguato al rischio esistente e costantemente in funzione della sua evoluzione".

3.11. Autorità di vigilanza

3.11.1. Articolo 38. Il GEPD. Nel paragrafo 1 si dovrebbe precisare che è istituita un'autorità indipendente di vigilanza.

3.11.2. Articolo 39. Nomina. La proposta prevede la nomina del GEPD "di comune accordo" da parte del Parlamento europeo, del Consiglio e della Commissione per un periodo di quattro anni; il mandato è rinnovabile (quante volte?).

3.11.3. Il Comitato insiste nuovamente sulla necessaria indipendenza del GEPD che non dovrebbe essere nominato dagli organi che, come la Commissione o il Consiglio, si trovano correntemente a trattare o a far trattare dati individuali e ad assicurarne la diffusione o la trasmissione. Come per il mediatore, sembrerebbe più appropriato e più pratico dal punto di vista tecnico che il garante fosse nominato dal Parlamento europeo, previa consultazione della Commissione e del Consiglio. Un mandato assai più lungo (eventualmente il doppio del previsto), ma non rinnovabile, potrebbe anche costituire una garanzia supplementare d'indipendenza.

3.11.4. Le mansioni del GEPD sono particolarmente gravose e diversificate e le schede finanziarie che accompagnano la proposta sembrano piuttosto modeste rispetto ai compiti richiesti.

3.11.5. Per il Comitato, è assolutamente necessario accordare alla futura autorità un livello adeguato di risorse finanziarie e di personale con un'elevata qualifica tecnica.

4. Conclusioni

4.1. Il Comitato avrebbe voluto esaminare più nei dettagli l'insieme di disposizioni contenute in una proposta di regolamento così decisiva per la protezione dei diritti e delle libertà delle persone dei confronti dell'amministrazione comunitaria.

4.2. Un progetto del genere rappresenta un lavoro enorme e va accolto con favore in quanto propone un interessante livello di protezione. I suoi limiti sono dovuti anzitutto a quelli della direttiva del 1995. Consapevole dei progressi e dei miglioramenti già riscontrabili a questo stadio, il Comitato presenta le osservazioni generali e particolari del parere al Consiglio, al Parlamento europeo e alla Commissione, nella speranza che il suo contributo consentirà di rafforzare le garanzie di esercizio delle libertà e dei diritti di cui beneficiano i cittadini all'interno e al di fuori dello spazio comunitario.

4.3. Ad ogni modo, in base alla valutazione, prevista per il 2001, dell'attuazione della direttiva e alle proposte concrete che in tale occasione saranno sottoposte al suo esame, il Comitato presenterà a tempo debito delle proposte circostanziate e complete sulla natura e la portata dei cambiamenti che desidera vengano apportati al testo attuale.

Bruxelles, 8 dicembre 1999.

La Presidente

del Comitato economico e sociale

Beatrice RANGONI MACHIAVELLI

(1) GU L 281 del 23.11.1995, pag. 31.

(2) GU L 24 del 30.1.1998, pag. 1.

(3) GU C 159 del 17.6.1991, pag. 38 (Relatore: Salmon).

(4) Convenzione del Consiglio d'Europa sulla protezione delle persone per quanto riguarda l'elaborazione automatica dei dati a carattere personale (Trattato europeo n. 108). Tutti gli attuali Stati membri hanno ratificato tale convenzione, mentre la maggior parte dei paesi candidati non l'ha fatto.

(5) Disposizioni del genere sono previste ad esempio dalla Convenzione n. 81 dell'OIL concernente gli ispettori del lavoro.