RICORSO 30 luglio 2004, n. 76
RICORSO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI
PRESIDENTE DEL CONSIGLIO DEI MINISTRI
Ricorso del Presidente del Consiglio dei Ministri, rappresentato e
difeso dall'Avvocatura generale dello Stato presso i cui uffici in
Roma, Via dei Portoghesi n. 12 e' domiciliato nei confronti della
Regione Emilia-Romagna, in persona del Presidente della Giunta
regionale per la dichiarazione di illegittimita' costituzionale della
legge della Regione Emilia-Romagna 24 maggio 2004, n. 11 (pubblicata
nel Bollettino Ufficiale regionale n. 65 del 25 maggio 2004),
"Sviluppo regionale della societa' dell'informazione", negli articoli
12, 13, 14 in relazione all'art. 2 ed all'art. 117, comma secondo
lett. l), m), r) e comma sesto della Costituzione, nonche' ai
principi della legislazione statale in materia di protezione dei dati
personali
(pubblicazione disposta dal Presidente della Corte Costituzionale a
norma dell'art. 24 delle Norme integrative del 16 marzo 1956)
La legge 11/2004 della Regione Emilia Romagna detta norme per lo
sviluppo regionale della societa' dell'informazione, definendo le
linee guida per un utilizzo integrato delle tecnologie
dell'informazione e della comunicazione nelle pubbliche
amministrazioni e nella societa' regionale.
Tale legge, giusta delibera del Consiglio dei Ministri in data 9
luglio 2004, viene impugnata nelle sottoindicate disposizioni.
a) Art. 12
Nel Capo IV della legge impugnata, concernente il sistema informativo
regionale, l'art. 12:
- afferma che l'insieme delle informazioni acquisite o prodotte
nell'esercizio di pubbliche funzioni costituisce patrimonio comune
per le attivita' istituzionali delle pubbliche amministrazioni e
degli enti, associazioni o soggetti privati, che operano in ambito
regionale per finalita' di interesse pubblico;
- stabilisce che tale patrimonio e' aperto alla disponibilita' ed al
libero utilizzo di soggetti terzi (rispetto a quelli, pubblici o
privati, che operano in ambito regionale per finalita' di interesse
pubblico) nelle forme e con le modalita' di carattere tecnico
deliberate dalla Giunta regionale;
- prevede, in particolare, che con regolamento regionale venga
disciplinata la cessione a privati e ad enti pubblici economici dei
dati costitutivi dell'anzidetto patrimonio informativo pubblico;
- stabilisce l'obbligo sia delle pubbliche amministrazioni e degli
enti pubblici che operano in ambito regionale sia delle associazioni
e dei soggetti privati che operano in ambito regionale per finalita'
di interesse pubblico di fornire la disponibilita' dei dati contenuti
nei propri sistemi informativi.
Vero e' che tale articolo dichiara, in modo del tutto generico, di
disporre nei limiti di cui al DLgs 196/2003 (codice di protezione dei
dati personali) e richiama, sempre genericamente, l'esigenza del
rispetto, da parte dell'emananda disciplina regolamentare, dei
principi fondamentali posti dalla legislazione statale in materia
nonche' dei livelli di tutela previsti nel citato DLgs. Sta di fatto,
peraltro, che le disposizioni in questione, in quanto riferibili
anche ad informazioni relative a persone fisiche, persone giuridiche,
enti o associazioni identificati o identificabili, anche
indirettamente (cfr. art. 4, comma 1, lett. b del DLgs 196/2003),
violano la riserva esclusiva allo Stato della potesta' legislativa (e
regolamentare) in materia di trattamento dei dati personali (art.
117, comma secondo lett. l) e m) Cost.) e contrastano comunque con i
principi e la specifica disciplina della relativa legislazione
statale concernente i trattamenti in generale e quelli effettuati dai
soggetti pubblici in particolare (Parte I, Titolo III, Capo I e Capo
II del DLgs 196/2003).
Com'e' noto, si intende per "trattamento" qualunque operazione o
complesso di operazioni, effettuati anche senza l'ausilio di
strumenti elettronici, concernenti la raccolta, la registrazione,
l'organizzazione, la conservazione, la consultazione, l'elaborazione,
la modificazione, la selezione, l'estrazione, il raffronto,
l'utilizzo, l'interconnessione, il blocco, la comunicazione, la
diffusione, la cancellazione e la distruzione di dati, anche se non
registrati in una banca dati (art. 4, comma 1, lett. a, del citato
DLgs, coerente all'art. 2, lett. b, della direttiva 95/46/CE del
24/10/1995).
Esclusa la configurabilita' di una qualsiasi competenza regionale
sulla base dei commi terzo e quarto dell'art 117 Cost., la competenza
esclusiva dello Stato in materia - che si raccorda anche ad atti
internazionali (Convenzione di Strasburgo n. 108/1981, ratificata con
legge 98/89) e comunitari (citata direttiva) per quanto
specificamente concerne la tutela dei diritti e delle liberta'
fondamentali delle persone fisiche - e' da riconoscere in base
all'art. 117, comma secondo, Cost. in riferimento sia alle previsioni
della lett. l) (ordinamento civile) sia, per altri aspetti, alle
previsioni della lett. m) (determinazione dei livelli essenziali
delle prestazioni concernenti i diritti civili e sociali che devono
essere garantiti su tutto il territorio nazionale) ed alle previsioni
della lettera r) (coordinamento informativo statistico ed informatico
dei dati dell'amministrazione statale, regionale e locale).
La disciplina relativa alla protezione dei dati personali attiene
infatti alla conformazione di diritti fondamentali della persona, il
cui livello di tutela, nel quadro della garanzia voluta dall'art. 2
Cost. ed in base ad una legge generale od a leggi settoriali (cfr 23
considerando della direttiva), non puo' che essere uniforme sul
territorio nazionale e coerente ai richiamati atti sopranazionali, i
cui principi sono codificati nel DLgs 196/2003.
Orbene, la prevista generale condivisione delle informazioni per la
formazione di un patrimonio informativo comune, di stabile supporto
alle varie attivita' di tutti i soggetti, pubblici e privati, che
operano in ambito regionale per ogni diversa finalita' di interesse
pubblico, appare in contrasto con quanto previsto dall'art. 11 del
DLgs, che vuole che i dati personali siano raccolti e registrati per
scopi determinati ed espliciti, siano pertinenti e non eccedenti
rispetto alle specifiche finalita' per le quali sono raccolti e siano
conservati per un periodo di tempo non superiore a quello necessario
per gli scopi per i quali sono stati raccolti.
Con il richiamato art. 11 contrasta a sua volta l'affermazione, di
principio ed assoluta, di apertura di tale patrimonio alla
disponibilita' ed al libero utilizzo di soggetti terzi, estranei ad
attivita' di interesse pubblico.
La previsione di emanazione di un regolamento regionale per la
disciplina della cessione dei dati a privati ed enti pubblici
economici, contrasta poi con la sottolineata competenza esclusiva
dello Stato alla disciplina della materia (art. 117, comma sesto,
Cost.) e con la specifica disposizione dell'art. 19, comma terzo, del
DLgs 196/2003, secondo la quale la comunicazione da parte di un
soggetto pubblico a privati o ad enti pubblici economici e la
diffusione da parte di un soggetto pubblico sono ammesse unicamente
quando sono previste da una norma di legge o di regolamento, da
intendere, per quanto gia' detto, di livello statale. Di cio' e'
anche testuale conferma nella disposizione dell'art. 154, comma
quarto (il cui referente si rinviene nell'art. 28.2 della direttiva
95/46/CE), che stabilisce che il Presidente del Consiglio dei
Ministri e ciascun Ministro consultano il Garante per la protezione
dei dati personali all'atto della predisposizione delle norme
regolamentari e degli atti amministrativi suscettibili di incidere
sulle materie disciplinate dallo stesso DLgs, non ipotizzandosi in
alcun modo una potesta' regolamentare delle Regioni.
Allo stesso modo l'aprioristica e globale obbligatoria messa a
disposizione dei dati contenuti nei propri rispettivi sistemi
informativi da parte dei soggetti pubblici e privati, senza una
preventiva verifica di necessita', contrasta sia con il ripetuto art.
11 sia con la specifica disposizione dell'art. 19, comma secondo, del
DLgs 196/2003, secondo la quale la comunicazione dei dati da parte di
un soggetto pubblico ad altri soggetti pubblici e' ammessa solo
quando e' prevista da "una norma di legge o di regolamento" (di
livello statale).
E' appena il caso di aggiungere, poi, che la messa a disposizione e
lo scambio di dati e' cosa ben diversa dalla predisposizione e/o
acquisizione di programmi informatici secondo criteri tecnici e
operativi omogeneamente rispondenti alle direttive ministeriali in
materia.
b) Art. 13 e Art. 14
Gli articoli 13 e 14 della legge impugnata, concernono
rispettivamente l'impostazione del sistema informativo regionale
(SIR) e l'integrazione nel SIR, previe intese con le amministrazioni
statali e gli enti pubblici nazionali, dei flussi informativi a scala
nazionale nonche' l'utilizzo dei dati a scala regionale inclusi nei
sistemi informativi gestiti o posseduti dalle amministrazioni ed enti
medesimi.Evidente il contrasto con le previsioni dell'art. 117, comma
secondo lett. r) dell'art. 117 Cost., che riservano allo Stato la
competenza sul coordinamento informativo dei dati
dell'amministrazione statale, regionale e locale.
Un generico riferimento al principio di collaborazione fra le varie
amministrazioni pubbliche non vale a superare il rilievo che ciascun
sistema informativo, strumentale all'esercizio di competenze distinte
anche a livello costituzionale, si struttura in funzioni e
procedimenti distinti per le modalita' consentite di raccolta delle
informazioni e, in generale, per il trattamento e la disponibilita'
dei dati in forme e modi diversi, non suscettibili di interscambio in
relazione ai diversi titoli di legittimazione al di fuori di
condizioni e cautele che solo la normativa statale puo' stabilire, ad
evitare la messa in pericolo di diritti inviolabili garantiti
dall'art. 2 Cost.
Di contro, nella logica della prevista integrazione dei dati
informativi, il trattamento avverrebbe al di fuori delle regole e
delle cautele precisate per specifici settori nella Parte II del DLgs
196/2003 e, in particolare, del relativo Titolo V per quanto concerne
i dati sanitari.
A quest'ultimo riguardo, le impugnate disposizioni, da un lato
prevedono la collaborazione anche delle aziende sanitarie per
l'immissione ed il trattamento dei dati a scala infraregionale e
locale nonche' per l'alimentazione e l'aggiornamento dei flussi
informativi (art. 13), dall'altro prevedono la realizzazione con il
sistema delle aziende sanitarie di supporti e procedure informatiche
per l'estrazione automatica da archivi, anche gestionali, ed il
trattamento dei dati necessari ad integrare le basi informative del
SIR e dei sistemi degli altri enti, nonche' lo sviluppo e la gestione
di applicazioni di comune interesse (art. 14). Cio' in modo generico
ed indiscriminato, senza alcuna particolare considerazione dei dati
sensibili (di cui all'art. 4, comma 1 lett. d del DLgs 196/2003) ed
in contrasto con l'art. 20, 21 e 22 del ripetuto DLgs, che ne
consentono il trattamento solo se autorizzato da espressa
disposizione di legge statale nella quale siano precisati i tipi di
dati trattabili, le operazioni eseguibili e le specifiche finalita'
di rilevante interesse pubblico perseguite (quali specificate nelle
disposizioni della Parte II del DLgs 196/2003) e, per i soggetti
pubblici, lo limitano comunque ai dati indispensabili per svolgere
attivita' istituzionali con le cautele previste, in particolare,
dall'art. 22.
Quanto al richiamo operato nell'impugnato articolo 14, "per tenerne
conto", all'accordo quadro tra Ministero della Sanita', Regioni e
Province autonome per lo sviluppo del nuovo sistema informativo
sanitario nazionale (accordo 22/2/2001 di durata triennale scaduta),
va osservato che i requisiti funzionali di massima indicati nell'art.
3 dell'accordo non potrebbero essere che quelli definiti nel
dettaglio dallo Stato, in base alle sopravvenute previsioni della
L.C. 3/2001, cosi' come e' rimessa allo Stato la definizione del
quadro normativo cui fa riferimento l'art. 4 dello stesso accordo.
Si conclude pertanto perche' sia dichiarata l'illegittimita'
costituzionale della legge 24 maggio 2004, n. 11 della Regione
Emilia-Romagna negli articoli 12,13 e 14 per le ragioni e come sopra
precisato.
Roma, 19 giugno 2004.
AVVOCATO DELLO STATO
Giorgio D'Amato
