1a Serie Speciale - Corte Costituzionale n. 38 del 29-9-2004
ATTI DI PROMOVIMENTO DEL GIUDIZIO DELLA CORTE
N. 76 RICORSO PER LEGITTIMITA' COSTITUZIONALE 30 luglio 2004
Ricorso per questione di legittimita' costituzionale depositato in cancelleria il 30 luglio 2004 (del Presidente del Consiglio dei ministri) Dati sensibili (trattamento dei) - Norme della Regione Emilia-Romagna per lo sviluppo regionale della societa' dell'informazione - Definizione delle linee guida per un utilizzo integrato delle tecnologie dell'informazione e della comunicazione nelle pubbliche amministrazioni e nella societa' regionale - Qualificazione delle informazioni acquisite nell'esercizio delle funzioni pubbliche come patrimonio informativo pubblico - Prevista emanazione di un regolamento regionale per la cessione dei dati a privati ed enti pubblici economici - Obbligo per i soggetti pubblici e privati operanti in ambito regionale di rendere disponibili e liberamente utilizzabili i dati contenuti nei propri sistemi informativi - Ricorso del Presidente del Consiglio dei ministri - Denunciata invasione della competenza statale esclusiva in materia di «ordinamento civile», «livelli essenziali delle prestazioni concernenti i diritti civili e sociali», e «coordinamento informativo, statistico ed informatico dei dati dell'amministrazione statale, regionale e locale» - Contrasto con i principi fondamentali posti dal «Codice in materia di protezione dei dati personali» (d.lgs. n. 196/2003) - Violazione della sfera dei diritti civili della personalita' - Violazione della riserva allo Stato della potesta' legislativa e regolamentare in materia di trattamento dei dati personali. - Legge Regione Emilia-Romagna 24 maggio 2004, n. 11, art. 12. - Costituzione, artt. 2 e 117, commi secondo, lett. l), m) e r), e sesto. Dati sensibili (trattamento dei) - Norme della Regione Emilia-Romagna per lo sviluppo regionale della societa' dell'informazione - Definizione delle linee guida per un utilizzo integrato delle tecnologie dell'informazione e della comunicazione nelle pubbliche amministrazioni e nella societa' regionale - Impostazione del sistema informativo regionale, integrazione nello stesso, tramite intese con amministrazioni statali ed enti pubblici nazionali, dei flussi informativi a scala nazionale, nonche' utilizzo dei dati a scala regionale - Inserimento delle aziende sanitarie nell'ambito del sistema informativo regionale e di progetti integrati - Ricorso del Presidente del Consiglio dei ministri - Denunciata realizzazione di supporti e procedure informatiche per l'estrazione automatica dei dati dagli archivi senza precise garanzie a tutela dei «dati sensibili» - Contrasto con i principi fondamentali posti dal «Codice in materia di protezione dei dati personali» (d.lgs. n. 196/2003) - Invasione della competenza statale esclusiva in materia di «coordinamento informativo, statistico ed informatico dei dati dell'amministrazione statale, regionale e locale» - Violazione della sfera dei diritti civili della personalita' - Violazione della riserva allo Stato della potesta' legislativa e regolamentare in materia di trattamento dei dati personali. - Legge Regione Emilia-Romagna 24 maggio 2004, n. 11, artt. 13 e 14. - Costituzione, artt. 2 e 117, comma secondo, lett. r). (004C0990) (GU 1a Serie Speciale - Corte Costituzionale n.38 del 29-9-2004)

Ricorso per il Presidente del Consiglio dei ministri,
rappresentato e difeso dall'Avvocato generale dello Stato, presso i
cui uffici, in Roma, via del Portoghesi n. 12, domicilia, nei
confronti della Regione Emilia-Romagna, in persona del presidente
della giunta regionale per la dechiarazione dell'illegittimità
costituzionale della legge della Regione Emilia-Romagna 24 maggio
2004, n. 11 pubblicata nel B.U.R. n. 65 del 25 maggio 2004, «sviluppo
regionale della società dell'informazione», negli articoli 12, 13,
14 in relazione all'art. 2 ed all'art. 117, comma secondo, lett. l),
m) r) e comma sesto della Costituzione, nonchè ai principi della
legislazione statale in materia di protezione dei dati personali.

La legge n. 11/2004 della Regione Emilia-Romagna detta norme per
lo sviluppo regionale della società dell'informazione, definendo le
linee guida per un utilizzo integrato delle tecnologie
dell'informazione e della comunicazione nelle pubbliche
amministrazioni e nella società regionale.
Tale legge, giusta delibera del Consiglio dei Ministri in data 9
luglio 2004, viene impugnata nelle sottoindicate disposizioni.
a) Art. 12.
Nel capo IV della legge impugnata, concernente il sistema
informativo regionale, l'art. 12:
afferma che l'insieme delle informazioni acquisite o prodotte
nell'esercizio di pubbliche funzioni costituisce patrimonio comune
per le attività istituzionali delle pubbliche amministrazioni e
degli enti, associazioni a soggetti privati, che operano in ambito
regionale per finalità di interesse pubblico;
stabilisce che tale patrimonio è aperto alla disponibilità
ed al libero utilizzo di soggetti terzi (rispetto a quelli, pubblici
o privati, che operano in ambito regionale per finalità di interesse
pubblico) nelle forme e con le modalità di carattere tecnico
deliberate dalla giunta regionale;
prevede, in particolare, che con regolamento regionale venga
disciplinata la cessione a privati e ad enti pubblici economici dei
dati costitutivi dell'anzidetto patrimonio informativo pubblico;
stabilisce l'obbligo sia delle pubbliche amministrazioni e
degli enti pubblici che operano in ambito regionale sia delle
associazioni e dei soggetti privati che operano in ambito regionale
per finalità di interesse pubblico di fornire la disponibilità dei
dati contenuti nei propri sistemi informativi.
Vero è che tale articolo dichiara, in modo del tutto generico,
di disporre nei limiti di cui al d.lgs. n. 196/2003 (codice di
protezione dei dati personali) e richiama, sempre genericamente,
l'esigenza del rispetto, da parte dell'emananda disciplina
regolamentare, dei principi fondamentali posti dalla legislazione
statale in materia nonchè dei livelli di tutela previsti nel citato
d.lgs. Sta di fatto, peraltro, che le disposizioni in questione, in
quanto riferibili anche ad informazioni relative a persone fisiche,
persone giuridiche, enti o associazioni identificati o
identificabili, anche indirettamente (cfr. art. 4, comma 1, lett. b)
del d.lgs. 196/2003), violano la riserva esclusiva allo Stato della
potestà legislativa (e regolamentare) in materia di trattamento dei
dati personali (art. 117, comma secondo, lett. l) e m) Cost.) e
contrastano comunque con i principi e la specifica disciplina della
relativa legislazione statale concernente i trattamenti in generale e
quelli effettuati dai soggetti pubblici in particolare (parte I,
titolo III, capo I e capo II del d.lgs. n. 196/2003).
Com'è noto, si intende per «trattamento» qualunque operazione o
complesso di operazioni, effettuati anche senza l'ausilio di
strumenti elettronici, concernenti la raccolta, la registrazione,
l'organizzazione, la conservazione, la consultazione, l'elaborazione,
la modificazione, la selezione, l'estrazione, il raffronto,
l'utilizzo, l'interconnessione, il blocco, la comunicazione, la
diffusione, la cancellazione e la distruzione di dati, anche se non
registrati in una banca dati (art. 4, comma 1, lett. a), del citato
d.lgs., coerente all'art. 2, lett. b) della direttiva 95/46/CE del 24
ottobre 1995).
Esclusa la configurabilità di una qualsiasi competenza regionale
sulla base dei commi terzo e quarto dell'art. 117 Cost., la
competenza esclusiva dello Stato in materia - che si raccorda anche
ad atti internazionali (Convenzione di Strasburgo n. 108/1981,
ratificata con legge n. 98/1989) e comunitari (citata direttiva) per
quanto specificamente concerne la tutela dei diritti e delle libertà
fondamentali delle persone fisiche - è da riconoscere in base
all'art. 117, comma secondo, Cost. in riferimento sia alle previsioni
della lett. l) (ordinamento civile) sia, per altri aspetti, alle
previsioni della lett. m) (determinazione dei livelli essenziali
delle prestazioni concernenti i diritti civili e sociali che devono
essere garantiti su tutto il territorio nazionale) ed alle previsioni
della lettera r) (coordinamento informativo statistico ed informatico
dei dati dell'amministrazione statale, regionale e locale).
La disciplina relativa alla protezione dei dati personali attiene
infatti alla conformazione di diritti fondamentali della persona, il
cui livello di tutela, nel quadro della garanzia voluta dall'art. 2
Cost. ed in base ad una legge generale od a leggi settoriali (cfr.,
23° considerando della direttiva, non può che essere uniforme sul
territorio nazionale e coerente ai richiamati atti sopranazionali, i
cui principi sono codificati nel d.lgs. n. 196/2003.
Orbene, la prevista generale condivisione delle informazioni per
la formazione di un patrimonio informativo comune, di stabile
supporto alle varie attività di tutti i soggetti, pubblici e
privati, che operano in ambito regionale per ogni diversa finalità
di interesse pubblico, appare in contrasto con quanto previsto
dall'art. 11 del d.lgs., che vuole che i dati personali siano
raccolti e registrati per scopi determinati ed espliciti, siano
pertinenti e non eccedenti rispetto alle specifiche finalità per le
quali sono raccolti e siano conservati per un periodo di tempo non
superiore a quello necessario per gli scopi per i quali sono stati
raccolti.
Con il richiamato art. 11 contrasta a sua volta l'affermazione,
di principio ed assoluta, di apertura di tale patrimonio alla
disponibilità ed al libero utilizzo di soggetti terzi, estranei ad
attività di interesse pubblico.
La previsione di emanazione di un regolamento regionale per la
disciplina della cessione dei dati a privati ed enti pubblici
economici, contrasta poi con la sottolineata competenza esclusiva
dello Stato alla disciplina della materia (art. 117, comma sesto,
Cost.) e con la specifica disposizione dell'art. 19, comma terzo, del
d.lgs. n. 196/2003, secondo la quale la comunicazione da parte di un
soggetto pubblico a privati o ad enti pubblici economici e la
diffusione da parte di un soggetto pubblico sono ammesse unicamente
quando sono previste da una norma di legge o di regolamento, da
intendere, per quanto già detto, di livello statale. Di ciò è
anche testuale conferma nella disposizione dell'art. 154, comma
quarto (il cui referente si rinviene nell'art. 282 della direttiva
95/46/CE), che stabilisce che il Presidente del Consiglio dei
ministri e ciascun ministro consultano il garante per la protezione
dei dati personali all'atto della predisposizione delle norme
regolamentari e degli atti amministrativi suscettibili di incidere
sulle materie disciplinate dallo stesso non ipotizzandosi in alcun
modo una potestà regolamentare delle regioni.
Allo stesso modo l'aprioristica e globale obbligatoria messa a
disposizione dei dati contenuti nei propri rispettivi sistemi
informativi da parte dei soggetti pubblici e privati, senza una
preventiva verifica di necessità, contrasta sia con il ripetuto
art. 11 sia con la specifica disposizione dell'art. 19, comma
secondo, del d.lgs. 196/2003, secondo la quale la comunicazione dei
dati da parte di un soggetto pubblico ad altri soggetti pubblici è
ammessa solo quando è prevista da «una norma di legge o di
regolamento» (di livello statale).
È appena il caso di aggiungere, poi, che la messa a disposizione
e lo scambio di dati è cosa ben diversa dalla predisposizione e/o
acquisizione di programmi informatici secondo criteri tecnici e
operativi omogeneamente rispondenti alle direttive ministeriali in
materia.
b) Art. 13 e art. 14
Gli articoli 13 e 14 della legge impugnata, concernono
rispettivamente l'impostazione del sistema informativo regionale
(SIR) e l'integrazione nel SIR, previe intese con le amministrazioni
statali e gli enti pubblici nazionali, dei flussi informativi a scala
nazionale nonchè l'utilizzo dei dati a scala regionale inclusi nei
sistemi informativi gestiti o posseduti dalle amministrazioni ed enti
medesimi
Evidente il contrasto con le previsioni dell'art. 117, comma
secondo, lett. r) dell'art. 117 Cost., che riservano allo Stato la
competenza sul coordinamento informativo dei dati
dell'amministrazione statale, regionale e locale.
Un generico riferimento al principio di collaborazione fra le
varie amministrazioni pubbliche non vale a superare il rilievo che
ciascun sistema informativo, strumentale all'esercizio di competenze
distinte anche a livello costituzionale, si struttura in funzioni e
procedimenti distinti per le modalità consentite di raccolta delle
informazioni e, in generale, per il trattamento e la disponibilità
dei dati in forme e modi diversi, non suscettibili di interscambio in
relazione ai diversi titoli di legittimazione al di fuori di
condizioni e cautele che solo la normativa statale può stabilire, ad
evitare la messa in pericolo di diritti inviolabili garantiti
dall'art. 2 Cost.
Di contro, nella logica della prevista integrazione dei dati
informativi, il trattamento avverrebbe al di fuori delle regole e
delle cautele precisate per specifici settori nella parte II del
d.lgs. n. 196/2003 e, in particolare, del relativo titolo V per
quanto concerne i dati sanitari.
A quest'ultimo riguardo, le impugnate disposizioni, da un lato
prevedono la collaborazione anche delle aziende sanitarie per
l'immissione ed il trattamento dei dati a scala infraregionale e
locale nonchè per l'alimentazione e l'aggiornamento dei flussi
informativi (art. 13), dall'altro prevedono la realizzazione con il
sistema delle aziende sanitarie di supporti e procedure informatiche
per l'estrazione automatica da archivi, anche gestionali, ed il
trattamento dei dati necessari ad integrare le basi informative del
SIR e dei sistemi degli altri enti, nonchè lo sviluppo e la gestione
di applicazioni di comune interesse (art. 14). Ciò in modo generico
ed indiscriminato, senza alcuna particolare considerazione dei dati
sensibili (di cui all'art. 4, comma 1, lett. d) del d.lgs.
n. 196/2003) ed in contrasto con l'art 20, 21 e 22 del ripetuto
d.lgs., che ne consentono il trattamento solo se autorizzato da
espressa disposizione di legge statale nella quale siano precisati i
tipi di dati trattabili, le operazioni eseguibili e le specifiche
finalità di rilevante interesse pubblico perseguite (quali
specificate nelle disposizioni della parte II del d.lgs. n. 196/2003)
e, per i soggetti pubblici, lo limitano comunque ai dati
indispensabili per svolgere attività istituzionali con le cautele
previste, in particolare, dall'art. 22.
Quanto al richiamo operato nell'impugnato art. 14, «per tenerne
conto», all'accordo quadro tra Ministero della sanità, regioni e
province autonome per lo sviluppo del nuovo sistema informativo
sanitario nazionale (accordo 22 febbraio 2001 di durata triennale
scaduta), va osservato che i requisiti funzionali di massima indicati
nell'art. 3 dell'accordo non potrebbero essere che quelli definiti
nel dettaglio dallo Stato, in base alle sopravvenute previsioni della
L.C. 3/2001, così come è rimessa allo Stato la definizione del
quadro normativo cui fa riferimento l'art. 4 dello stesso accordo.

P. Q. M.
Si conclude pertanto perchè sia dichiarata l'illegittimità
costituzionale della legge 24 maggio 2004, n. 11 della Regione
Emilia-Romagna negli articoli 12, 13 e 14 per le ragioni e come sopra
precisato.
Roma, addì 19 giugno 2004
L'Avvocato dello Stato: Giorgio D'Amato
04C0990