[pronunce]

Gli artt. 13 e 14 della legge regionale n. 11 del 2004, nel disciplinare il sistema informativo regionale, contrasterebbero con l'art. 117, secondo comma, lettera r), della Costituzione che riconosce allo Stato la competenza esclusiva in tema di “coordinamento informativo statistico e informatico dei dati dell'amministrazione statale, regionale e locale” e con gli artt. 20, 21 e 22 del d.lgs. n. 196 del 2003 che consentono il trattamento solo se autorizzato da espressa disposizione di legge statale nella quale siano previsti i tipi di dati trattabili, le operazioni eseguibili e le specifiche finalità di rilevante interesse pubblico perseguite, e per i soggetti pubblici lo limitano ai dati indispensabili per svolgere attività istituzionali. 2. – Occorre in via preliminare prendere in considerazione il problema della collocazione, rispetto al riparto di competenze fra Stato e Regioni di cui al Titolo V della Costituzione, di una legislazione, quale quella censurata, incidente sulla tutela dei dati personali. Il d.lgs. n. 196 del 2003 attualmente vigente coordina in un testo unico la normativa originata dal recepimento – mediante la legge 31 dicembre 1996, n. 675 (Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali) – della direttiva n. 95/46/CE del 24 ottobre 1995 (Direttiva del Parlamento europeo e del Consiglio, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati), nonché dalle successive numerose integrazioni e modificazioni del richiamato testo legislativo sulla base della legge 31 dicembre 1996, n. 676 (Delega al Governo in materia di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali), e recepisce la direttiva 2002/58/CE del 12 luglio 2002 (Direttiva del Parlamento europeo e del Consiglio, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche), secondo quanto previsto dalla legge 24 marzo 2001, n. 127 (Differimento del termine per l'esercizio della delega prevista dalla legge 31 dicembre 1996, n. 676, in materia di trattamento dei dati personali), modificata dall'art. 26 della legge 3 febbraio 2003, n. 14 (Disposizioni per l'adempimento di obblighi derivanti dall'appartenenza dell'Italia alle Comunità europee). Questa complessa legislazione tende a tutelare per la prima volta in modo organico il trattamento dei dati personali (esplicitamente definiti dall'art. 4, comma 1, lettera b, del d.lgs. n. 196 del 2003, come «qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione»), riferendosi all'intera serie dei fenomeni sociali nei quali questi possono venire in rilievo: da ciò una disciplina che, pur riconoscendo tutele differenziate in relazione ai diversi tipi di dati personali ed alla grande diversità delle situazioni e dei contesti normativi nei quali tali dati vengono utilizzati, si caratterizza essenzialmente per il riconoscimento di una serie di diritti alle persone fisiche e giuridiche relativamente ai propri dati, diritti di cui sono regolate analiticamente caratteristiche, limiti, modalità di esercizio, garanzie, forme di tutela in sede amministrativa e giurisdizionale. Anche nel trattamento dei dati personali da parte dei soggetti pubblici rileva essenzialmente la necessaria tutela dei diversi tipi di dati personali, così come dispone espressamente il terzo comma dell'art. 18 del d.lgs. n. 196 del 2003, secondo il quale «nel trattare i dati il soggetto pubblico osserva i presupposti e i limiti stabiliti dal presente codice, anche in relazione alla diversa natura dei dati, nonché dalla legge e dai regolamenti». Ciò rende evidente che ci si trova dinanzi ad un corpo normativo essenzialmente riferibile, all'interno delle materie legislative di cui all'art. 117 Cost., alla categoria dell'“ordinamento civile”, di cui alla lettera l) del secondo comma (alla medesima disposizione ci si deve riferire per quanto attiene alle tutele giurisdizionali delle situazioni soggettive del settore, mentre le disposizioni relative al “garante per la protezione dei dati personali” ed ai suoi poteri sono riconducibili alla lettera g del medesimo comma). Improprio appare, invece, il riferimento alla competenza esclusiva dello Stato in tema di “determinazione dei livelli essenziali delle prestazioni concernenti i diritti civili e sociali che devono essere garantiti su tutto il territorio nazionale”, di cui alla lettera m) del secondo comma dell'art. 117 Cost., dal momento che la legislazione sui dati personali non concerne prestazioni, bensì la stessa disciplina di una serie di diritti personali attribuiti ad ogni singolo interessato, consistenti nel potere di controllare le informazioni che lo riguardano e le modalità con cui viene effettuato il loro trattamento. Deve peraltro notarsi che, pur nell'ambito di questa esclusiva competenza statale, la legislazione vigente prevede anche un ruolo normativo, per quanto di tipo meramente integrativo, per i soggetti pubblici chiamati a trattare i dati personali, evidentemente per la necessità, almeno in parte ineludibile, che i princìpi posti dalla legge a tutela dei dati personali siano garantiti nei diversi contesti legislativi ed istituzionali: ad esempio, il Codice prevede, all'art. 19, che norme di legge o di regolamento possano modulare nelle diverse materie il trattamento dei dati comuni, per ciò che riguarda la loro comunicazione ai soggetti pubblici o privati o la loro diffusione, e all'art. 20, comma 2, che l'integrazione delle prescrizioni legislative statali che siano incomplete in relazione al trattamento di dati sensibili da parte di pubbliche amministrazioni (poiché non determinano «i tipi di dati sensibili e di operazioni eseguibili») sia operata tramite appositi regolamenti «a cura dei soggetti che ne effettuano il trattamento», seppure «in conformità al parere espresso dal Garante ai sensi dell'art. 154, comma 1, lettera g), anche su schemi tipo». In questi ambiti possono quindi essere adottati anche leggi o regolamenti regionali, ma solo in quanto e nella misura in cui ciò sia appunto previsto dalla legislazione statale. 3. – Quanto appena espresso non equivale peraltro ad affermare la incompetenza del legislatore regionale a disciplinare procedure o strutture organizzative che prevedono il trattamento di dati personali, pur ovviamente nell'integrale rispetto della legislazione statale sulla loro protezione (ivi comprese le disposizioni relative alle “misure minime di sicurezza” prescritte per i trattamenti dei dati personali con o senza l'utilizzazione degli strumenti elettronici): infatti le Regioni, nelle materie di propria competenza legislativa, non solo devono necessariamente prevedere l'utilizzazione di molteplici categorie di dati personali da parte di soggetti pubblici e privati, ma possono anche organizzare e disciplinare a livello regionale una rete informativa sulle realtà regionali, entro cui far confluire i diversi dati conoscitivi (personali e non personali) che sono nella disponibilità delle istituzioni regionali e locali o di altri soggetti interessati.