SENTENZA DEL 23 giugno 2005, n. 271
SENTENZA del 23 giugno 2005, n. 271
CORTE COSTITUZIONALE
Sentenza nel giudizio di legittimita' costituzionale degli articoli
12, 13 e 14 della Legge della Regione Emilia-Romagna 24 maggio 2004,
n. 11 (Sviluppo regionale della societa' dell'informazione), promosso
con ricorso del Presidente del Consiglio dei Ministri, notificato il
23 luglio 2004, depositato in Cancelleria il 30 successivo ed
iscritto al n. 76 del Registro ricorsi 2004
In nome del popolo italiano, la Corte Costituzionale composta dai
signori:
Piero Alberto Capotosti, Presidente; Fernanda Contri, Guido Neppi
Modona, Annibale Marini, Franco Bile, Giovanni Maria Flick, Francesco
Amirante, Ugo De Siervo, Romano Vaccarella, Paolo Maddalena, Alfio
Finocchiaro, Alfonso Quaranta, Franco Gallo, giudici
ha pronunciato la seguente
SENTENZA
nel giudizio di legittimita' costituzionale degli articoli 12, 13 e
14 della Legge della Regione Emilia-Romagna 24 maggio 2004, n. 11
(Sviluppo regionale della societa' dell'informazione), promosso con
ricorso del Presidente del Consiglio dei Ministri, notificato il 23
luglio 2004, depositato in Cancelleria il 30 successivo ed iscritto
al n. 76 del Registro ricorsi 2004.
Visto l'atto di costituzionale della Regione Emilia-Romagna;
udito nell'udienza pubblica del 3 maggio 2005 il Giudice relatore Ugo
De Siervo;
uditi l'avocato dello Stato Massimo Mari per il Presidente del
Consiglio dei Ministri e l'avvocato Franco Mastragostino per la
Regione Emilia-Romagna.
Ritenuto di fatto
1. - Con ricorso, notificato il 23 luglio 2004 e depositato in
Cancelleria il 30 luglio 2004, il Presidente del Consiglio dei
Ministri, rappresentato e difeso dall'Avvocatura generale dello
Stato, ha impugnato gli articoli 12, 13 e 14 della Legge della
Regione Emilia-Romagna 24 maggio 2004, n. 11 (Sviluppo regionale
della societa' dell'informazione), pubblicata nel Bollettino
Ufficiale della Regione Emilia-Romagna n. 65 del 25 maggio 2004, in
relazione all'art. 117, secondo comma, lettere l), m) e r) e sesto
comma della Costituzione, nonche' ai principi della legislazione
statale in materia di protezione dei dati personali.
In particolare, il citato art. 12 prevede che, ferma restando
l'applicazione delle norme a tutela della privacy, "l'insieme delle
informazioni acquisite o prodotte nell'esercizio di pubbliche
funzioni" costituisce patrimonio comune per le attivita'
istituzionali delle pubbliche amministrazioni e degli enti, o
associazioni o soggetti privati che operano in ambito regionale per
finalita' di interesse pubblico, disponendo inoltre che questo
patrimonio sia aperto al libero utilizzo di soggetti terzi, con forme
e modalita' di carattere tecnico disciplinate dalla Giunta regionale.
La disposizione in esame prevede, inoltre, che con regolamento
regionale sia disciplinata la cessione a privati ed enti pubblici
economici dei dati costitutivi del patrimonio informativo pubblico,
stabilendo altresi' un obbligo sia delle pubbliche amministrazioni e
degli enti pubblici, sia delle associazioni e dei soggetti privati
che operano in ambito regionale per finalita' di interesse pubblico,
di "fornire la disponibilita' dei dati contenuti nei propri sistemi
informativi nei limiti previsti dal decreto legislativo n. 196 del
2003".L'Avvocatura dello Stato ritiene del tutto generico il
richiamo, contenuto nel medesimo art. 12, al rispetto dei limiti di
cui al DLgs 30 giugno 2003, n. 196 (Codice in materia di protezione
dei dati personali), e dei principi fondamentali posti dalla
legislazione statale in materia, nonche' dei livelli di tutela
previsti nel citato decreto.
La disciplina della protezione dei dati personali, secondo la difesa
erariale, sarebbe riconducibile alla conformazione dei diritti
fondamentali della persona il cui livello di tutela "non puo' che
essere uniforme sul territorio nazionale", anche in coerenza con atti
internazionali quali la Convenzione di Strasburgo del 28 gennaio
1981, n. 108 ratificata con la legge 21 febbraio 1989, n. 98
(Ratifica ed esecuzione della Convenzione n. 108 sulla protezione
delle persone rispetto al trattamento automatizzato di dati di
carattere personale, adottata a Strasburgo il 28 gennaio 1981), e con
la direttiva n. 95/46/CE del 24 ottobre 1995 (Direttiva del
Parlamento europeo e del Consiglio relativa alla tutela delle persone
fisiche con riguardo al trattamento dei dati personali, nonche' alla
libera circolazione di tali dati).
Sarebbe quindi esclusa la configurabilita', in materia di protezione
dei dati personali, di una qualsiasi competenza regionale,
sussistendo, invece, la potesta' legislativa esclusiva dello Stato,
in base all'art. 117, secondo comma, lettere l), m) e r) della
Costituzione.
La previsione, contenuta nella disposizione censurata, di una
generale condivisione delle informazioni ai fini della formazione di
un patrimonio informativo comune di supporto alle varie attivita' di
soggetti pubblici e privati che operano in ambito regionale per ogni
diversa finalita' di interesse pubblico, e l'apertura di tale
patrimonio alla disponibilita' ed al libero utilizzo di soggetti
terzi, estranei ad attivita' di interesse pubblico, secondo il
ricorrente, contrasterebbero con l'art. 11 del predetto decreto
legislativo 30 giugno 2003, n. 196, il quale dispone che la raccolta
e la registrazione dei dati sia fatta "per scopi determinati ed
espliciti", e che "siano pertinenti e non eccedenti rispetto alle
specifiche finalita' per le quali sono raccolti e siano conservati
per un periodo di tempo non superiore a quello necessario per gli
scopi per i quali sono stati raccolti".
La previsione della emanazione di un regolamento regionale per la
disciplina della cessione dei dati a privati e a soggetti pubblici
economici contrasterebbe con l'art. 117, sesto comma, della
Costituzione, trattandosi di materia rientrante nella potesta'
legislativa esclusiva dello Stato. L'art. 12 della legge regionale n.
11 del 2004 violerebbe, altresi', l'art. 19, terzo comma, del DLgs n.
196 del 2003, secondo il quale la comunicazione di dati personali da
parte di un soggetto pubblico a privati o ad enti pubblici economici,
e la diffusione da parte di un soggetto pubblico, sono ammesse solo
se previste da una norma di legge o di regolamento, "da intendere",
secondo l'Avvocatura dello Stato, come fonti di livello statale.
2. - Oggetto di censura governativa sono anche le disposizioni
contenute negli artt. 13 e 14 della Legge della Regione
Emilia-Romagna n. 11 del 2004, che disciplinano rispettivamente il
Sistema informativo regionale (SIR) e la realizzazione da parte della
Regione di progetti integrati volti "all'accrescimento e alla
valorizzazione del patrimonio pubblico di conoscenze".
Il ricorrente ritiene evidente il contrasto di tali previsioni con
l'art. 117, secondo comma, lettera r), della Costituzione, che
riserva allo Stato la competenza sul coordinamento informativo dei
dati dell'Amministrazione statale, regionale e locale.
Ad avviso dell'Avvocatura, ciascun sistema informativo, strumentale
all'esercizio di competenze distinte, si caratterizzerebbe per
funzioni e procedure diverse e per il trattamento dei dati con forme
e modalita' differenti che non sarebbero suscettibili di interscambio
al di fuori delle condizioni e delle cautele previste dalla normativa
statale volta al fine di evitare la messa in pericolo dei diritti
inviolabili garantiti dall'art. 2 Cost.
L'interscambio di diversi sistemi informativi previsto dalla legge
della Regione Emilia-Romagna avverrebbe invece al di fuori delle
regole fissate dal Codice nei diversi settori. In particolare, la
prevista collaborazione anche delle aziende sanitarie per
l'immissione ed il trattamento dei dati a scala regionale e locale,
nonche' per l'alimentazione e l'aggiornamento dei flussi informativi
(art. 13), e la realizzazione con il sistema delle aziende sanitarie
di supporti e procedure informatiche per l'estrazione automatica da
archivi ed il trattamento dei dati necessari ad integrare le basi
informative del SIR (art. 14), sarebbero previste in modo generico ed
indiscriminato. Non vi sarebbe, infatti, "alcuna particolare
considerazione dei dati sensibili (di cui all'art. 4, comma 1,
lettera d) del DLgs n. 196 del 2003)" e cio' sarebbe in contrasto con
gli artt. 20, 21 e 22 del DLgs n. 196 del 2003, "che ne consentono il
trattamento solo se autorizzato da espressa disposizione di legge
statale nella quale siano precisati i tipi di dati trattabili, le
operazioni eseguibili e le specifiche finalita' di rilevante
interesse pubblico perseguite (. . .) e, per i soggetti pubblici, lo
limitano ai dati indispensabili per svolgere attivita'
istituzionali".
Relativamente all'art. 14, il quale per la realizzazione di supporti
e procedure informatiche richiama l'accordo quadro stipulato tra
Ministero della sanita', Regioni e Province autonome per lo sviluppo
del nuovo sistema informativo sanitario nazionale (Accordo del 22
febbraio 2001, avente durata triennale), la difesa erariale osserva
che i "requisiti funzionali di massima indicati nell'art. 3
dell'accordo non potrebbero essere che quelli definiti nel dettaglio
dallo Stato, in base alle sopravvenute previsioni della legge
costituzionale n. 3 del 2001, cosi' come e' rimessa allo Stato la
definizione del quadro normativo cui fa riferimento l'art. 4 dello
stesso accordo".
3. - In data 28 luglio 2004 si e' costituita la Regione
Emilia-Romagna, chiedendo che sia dichiarata l'inammissibilita' e
l'infondatezza della questione, e riservandosi di presentare
successiva memoria, nella quale esplicitare le proprie ragioni.
4. - In prossimita' dell'udienza pubblica la Regione Emilia-Romagna
ha presentato una memoria nella quale premette che le censure
governative appaiono muovere da una impostazione non corretta circa
le prerogative regionali esercitabili ai fini del "coordinamento
informativo statistico e informatico" dei dati dell'amministrazione
regionale e locale e paiono essere caratterizzate inoltre da "un
eccessivo formalismo che porta ad intravedere lesioni dei principi
fondamentali fissati dalla normativa statale anche dove il
legislatore regionale si e' invece ad essa espressamente
richiamato".
In particolare, la difesa della Regione ritiene che il coordinamento
informatico sia materia "trasversale"; si tratterebbe di una
competenza di scopo, nel senso che la lettera r) dell'art. 117,
secondo comma, della Costituzione collega a quella materia una
finalita' del cui raggiungimento lo Stato si fa carico. Le Regioni,
partendo dalle proprie materie, potrebbero dettare norme interferenti
con i predetti ambiti trasversali e, sia pure nel rispetto delle
norme di principio e di uniformita' fissate dalla normativa statale,
potrebbero adottare misure ulteriori in materie di propria competenza
intrecciate con la competenza esclusiva statale. Le norme regionali
oggetto di censura, prevedendo forme di coordinamento, di
organizzazione e sviluppo dei sistemi infornativi statistici e
informatici, sempre secondo la difesa della Regione, in quanto
"strumentali rispetto a materie tipicamente regionali quali
"l'organizzazione degli uffici e degli enti amministrativi dipendenti
dalla Regione" ovvero: il "sostegno all'innovazione per i settori
produttivi"" sarebbero da ritenere "pienamente giustificate quanto al
titolo di competenza e legittimazione, piu' in generale perche'
strumentali a tutte le funzioni di programmazione, di coordinamento
finanziario e di costruzione del sistema amministrativo regionale e
locale".
Con l'art. 12 la Regione vorrebbe semplicemente "agevolare la
costituzione di un patrimonio informativo pubblico, rimuovendo. gli
ostacoli tecnici e giuridici alla condivisione delle informazioni fra
pubbliche amministrazioni e fra i soggetti che ne abbiano diritto.
Cio' ovviamente, nel rispetto dei limiti dettati dalla disciplina in
materia di trattamento dei dati personali". Quindi la
interconnessione fra le banche dati non implicherebbe "che
automaticamente tutte le informazioni siano allora condivise e che
esse siano, pertanto, visibili da chiunque".
Circa la presunta violazione della normativa sulla protezione dei
dati personali ed in particolare dei principi di pertinenza e di non
eccedenza rispetto agli scopi per i quali i dati sono raccolti e
trattati, fissati nel DLgs n. 196 del 2003, la difesa regionale
afferma che l'art. 12 impugnato prevede esplicitamente il rispetto
delle norme statali in materia di riservatezza e che da tale
normativa quindi non potrebbero discostarsi "il regolamento regionale
e le direttive tecniche che dovranno essere emanate con deliberazione
di Giunta, ai sensi dell'art. 26 della medesima legge".
Per quanto concerne poi le censure mosse agli artt. 13 e 14 della
legge regionale n. 11 del 2004, la difesa regionale precisa che il
mancato riferimento alla categoria dei dati sensibili deriverebbe dal
fatto che le norme in esame si occupano solo di definire cosa sia il
Sistema informativo regionale, senza che, la condivisione ipotizzata
dei flussi informativi implichi l'automatica condivisione anche delle
informazioni detenute.
Pertanto, la partecipazione all'interno del predetto sistema
informativo regionale delle aziende sanitarie locali avverrebbe nel
piu' assoluto rispetto delle regole a tutela dei diversi tipi di dati
personali, mentre la Regione svolgerebbe solo un ruolo di "gestore
tecnico del sistema".
Considerato in diritto
1. - II Presidente del Consiglio dei Ministri ha sollevato questione
di legittimita' costituzionale degli articoli 12, 13 e 14 della legge
della Regione Emilia-Romagna 24 maggio 2004, n. 11 (Sviluppo
regionale della societa' dell'informazione), per violazione dell'art.
117, secondo comma, lettere l), m) e r), e sesto comma, della
Costituzione, nonche' dei principi della legislazione statale in
materia di protezione dei dati personali.
Secondo il ricorrente le norme impugnate violerebbero i citati
parametri costituzionali poiche' in materia di tutela dei dati
personali sarebbe riservata solo allo Stato la potesta' legislativa e
regolamentare, dal momento che la legislazione a tutela dei dati
personali, derivata dal recepimento nell'ordinamento nazionale di
atti internazionali e comunitari, sarebbe riconducibile alla
esclusiva competenza statale in tema di "ordinamento civile" e di
"determinazione dei livelli essenziali delle prestazioni concernenti
i diritti civili e sociali che devono essere garantiti su tutto il
territorio nazionale", nonche' a quella in tema di "coordinamento
informativo statistico e informatico dei dati dell'Amministrazione
statale, regionale e locale".
L'art. 12 della legge regionale contrasterebbe sotto molteplici
profili con quanto previsto negli artt. 11 e 19 del DLgs 30 giugno
2003, n. 196 (Codice in materia di protezione dei dati personali), e
inoltre sarebbe illegittima la previsione di un regolamento regionale
in una materia di esclusiva competenza legislativa dello Stato.
Gli artt, 13 e 14 della legge regionale n. 11 del 2004, nel
disciplinare il sistema informativo regionale, contrasterebbero con
l'art. 117, secondo comma, lettera r), della Costituzione che
riconosce allo Stato la competenza esclusiva in tema di
"coordinamento informativo statistico e informatico dei dati
dell'Amministrazione statale, regionale e locale" e con gli artt. 20,
21 e 22 del DLgs n. 196 del 2003 che consentono il trattamento solo
se autorizzato da espressa disposizione di legge statale nella quale
siano previsti i tipi di dati trattabili, le operazioni eseguibili e
le specifiche finalita' di rilevante interesse pubblico perseguite, e
per i soggetti pubblici lo limitano ai dati indispensabili per
svolgere attivita' istituzionali.
2. - Occorre in via preliminare prendere in considerazione il
problema della collocazione, rispetto al riparto di competenze fra
Stato e Regioni di cui al Titolo V della Costituzione, di una
legislazione, quale quella censurata, incidente sulla tutela dei dati
personali.
Il DLgs n. 196 del 2003 attualmente vigente coordina in un testo
unico la normativa originata dal recepimento - mediante la Legge 31
dicembre 1996, n. 675 (Tutela delle persone e di altri soggetti
rispetto al trattamento dei dati personali) - della direttiva n.
95/46/CE del 24 ottobre 1995 (Direttiva del Parlamento europeo e del
Consiglio, relativa alla tutela delle persone fisiche con riguardo al
trattamento dei dati personali, nonche' alla libera circolazione di
tali dati), nonche' dalle successive numerose integrazioni e
modificazioni del richiamato testo legislativo sulla base della Legge
31 dicembre 1996, n. 676 (Delega al Governo in materia di tutela
delle persone e di altri soggetti rispetto al trattamento dei dati
personali), e recepisce la direttiva 2002/58/CE del 12 luglio 2002
(Direttiva del Parlamento europeo e del Consiglio, relativa al
trattamento dei dati personali e alla tutela della vita privata nel
settore delle comunicazioni elettroniche), secondo quanto previsto
dalla Legge 24 marzo 2001, n. 127 (Differimento del termine per
l'esercizio della delega prevista dalla Legge 31 dicembre 1996, n.
676 in materia di trattamento dei dati personali), modificata
dall'art. 26 della Legge 3 febbraio 2003, n. 14 (Disposizioni per
l'adempimento di obblighi derivanti dall'appartenenza dell'Italia
alle Comunita' Europee).
Questa complessa legislazione tende a tutelare per la prima volta in
modo organico il trattamento dei dati personali (esplicitamente
definiti dall'art. 4, comma 1, lettera b), del DLgs n. 196 del 2003,
come "qualunque informazione relativa a persona fisica, persona
giuridica, ente od associazione, identificati o identificabili anche
indirettamente, mediante riferimento a qualsiasi altra
informazione"), riferendosi all'intera serie dei fenomeni sociali nei
quali questi possono venire in rilievo: da cio' una disciplina che,
pur riconoscendo tutele differenziate in relazione ai diversi tipi di
dati personali ed alla grande diversita' delle situazioni e dei
contesti normativi nei quali tali dati vengono utilizzati, si
caratterizza essenzialmente per il riconoscimento di una serie di
diritti alle persone fisiche e giuridiche relativamente ai propri
dati, diritti di cui sono regolate analiticamente caratteristiche,
limiti, modalita' di esercizio, garanzie, forme di tutela in sede
amministrativa e giurisdizionale. Anche nel trattamento dei dati
personali da parte dei soggetti pubblici rileva essenzialmente la
necessaria tutela dei diversi tipi di dati personali, cosi' come
dispone espressamente il terzo comma dell'art. 18 del DLgs n. 196 del
2003, secondo il quale "nel trattare i dati il soggetto pubblico
osserva i presupposti e i limiti stabiliti dal presente codice, anche
in relazione alla diversa natura dei dati, nonche' dalla legge e dai
regolamenti".
Cio' rende evidente che ci si trova dinanzi ad un corpo normativo
essenzialmente riferibile, all'interno delle materie legislative di
cui all'art. 117 Cost., alla categoria dell'"ordinamento civile", di
cui alla lettera l) del secondo comma (alla medesima disposizione ci
si deve riferire per quanto attiene alle tutele giurisdizionali delle
situazioni soggettive del settore, mentre le disposizioni relative al
"garante per la protezione dei dati personali" ed ai suoi poteri sono
riconducibili alla lettera g) del medesimo comma).
Improprio appare, invece, il riferimento alla competenza esclusiva
dello Stato in tema di "determinazione dei livelli essenziali delle
prestazioni concernenti i diritti civili e sociali che devono essere
garantiti su tutto il territorio nazionale", di cui alla lettera m)
del secondo comma dell'art. 117 Cost, dal momento che la legislazione
sui dati personali non concerne prestazioni, bensi' la stessa
disciplina di una serie di diritti personali attribuiti ad ogni
singolo interessato, consistenti nel potere di controllare le
informazioni che lo riguardano e le modalita' con cui viene
effettuato il loro trattamento.
Deve peraltro notarsi che, pur nell'ambito di questa esclusiva
competenza statale, la legislazione vigente prevede anche un ruolo
normativo, per quanto di tipo meramente integrativo, per i soggetti
pubblici chiamati a trattare i dati personali, evidentemente per la
necessita', almeno in parte ineludibile, che i principi posti dalla
legge a tutela dei dati personali siano garantiti nei diversi
contesti legislativi ed istituzionali: ad esempio, il Codice prevede,
all'art. 19, che norme di legge o di regolamento possano modulare
nelle diverse materie il trattamento dei dati comuni, per cio' che
riguarda la loro comunicazione ai soggetti pubblici o privati o la
loro diffusione, e all'art. 20, comma 2, che l'integrazione delle
prescrizioni legislative statali che siano incomplete in relazione al
trattamento di dati sensibili da parte di pubbliche amministrazioni
(poiche' non determinano "i tipi di dati sensibili e di operazioni
eseguibili") sia operata tramite appositi regolamenti "a cura dei
soggetti che ne effettuano il trattamento", seppure "in conformita'
al parere espresso dal Garante ai sensi dell'art. 154, comma 1,
lettera g), anche su schemi tipo".
In questi ambiti possono quindi essere adottati anche leggi o
regolamenti regionali, ma solo in quanto e nella misura in cui cio'
sia appunto previsto dalla legislazione statale.
3. - Quanto appena espresso non equivale peraltro ad affermare la
incompetenza del legislatore regionale a disciplinare procedure o
strutture organizzative che prevedono il trattamento di dati
personali, pur ovviamente nell'integrale rispetto della legislazione
statale sulla loro protezione (ivi comprese le disposizioni relative
alle "misure minime di sicurezza" prescritte per i trattamenti dei
dati personali con o senza l'utilizzazione degli strumenti
elettronici): infatti le Regioni, nelle materie di propria competenza
legislativa, non solo devono necessariamente prevedere
l'utilizzazione di molteplici categorie di dati personali da parte di
soggetti pubblici e privati, ma possono anche organizzare e
disciplinare a livello regionale una rete informativa sulle realta'
regionali, entro cui far confluire i diversi dati conoscitivi
(personali e non personali) che sono nella disponibilita' delle
istituzioni regionali e locali o di altri soggetti interessati. Cio',
tuttavia, deve avvenire ovviamente nel rispetto degli eventuali
livelli di riservatezza o di segreto, assoluti o relativi, che siano
prescritti dalla legge statale in relazione ad alcune delle
informazioni, nonche' con i consensi necessari da parte delle diverse
realta' istituzionali o sociali coinvolte.
Ne' in quest'ambito e' preclusiva la titolarita' esclusiva del
legislatore statale in tema di "coordinamento informativo statistico
e informatico dei dati dell'amministrazione statale, regionale e
locale", di cui alla lettera r) del secondo comma dell'art. 117
Cost., come sostenuto dalla Avvocatura generale dello Stato.
Cio' anzitutto perche' si tratta di un potere legislativo di
coordinamento, il cui mancato esercizio non preclude autonome
iniziative delle Regioni aventi ad oggetto la razionale ed efficace
organizzazione delle basi di dati che sono nella loro disponibilita'
ed anche il loro coordinamento paritario con le analoghe strutture
degli altri enti pubblici o privati operanti sul territorio. Il
problema sorgerebbe solo nel momento in cui il legislatore statale
dettasse normative nei medesimi ambiti a fine di coordinamento.
D'altra parte questo esclusivo potere legislativo statale concerne
solo un coordinamento di tipo tecnico che venga ritenuto opportuno
dal legislatore statale (si vedano le sentenze di questa Corte n. 31
del 2005 e n. 17 del 2004) e il cui esercizio, comunque, non puo'
escludere una competenza regionale nella disciplina e gestione di una
propria rete informativa (cfr. Sentenza n. 50 del 2005).
4. - Sulla base di quanto affermato nei paragrafi precedenti, va
peraltro dichiarata la illegittimita' costituzionale dell'art. 12
della legge della Regione Emilia-Romagna n. 11 del 2004.
Cio' in quanto questo articolo, che pure si apre affermando il
rispetto "delle norme a tutela della privacy e delle forme di
segreto", in concreto contraddice sotto molteplici profili la
legislazione statale vigente in materia di protezione dei dati
personali (nonche' le stesse direttive europee che ne sono
all'origine).
Innanzitutto, il primo comma dispone che, mediante apposito
regolamento regionale, sia disciplinata la "cessione dei dati
costitutivi del patrimonio informativo pubblico a privati ed enti
pubblici economici", con un'espressione tanto generica da poter
essere riferita ad ogni tipo di dato personale. L'istituto della
"cessione" dei dati personali, tuttavia, e' del tutto estraneo alla
legislazione statale in materia di protezione di tali dati. Anche ove
si volesse interpretare questa espressione come riferita alla
"comunicazione" dei dati personali da parte di un soggetto pubblico a
privati o ad enti pubblici economici, la disposizione contrasterebbe
comunque con la normativa statale, poiche' l'art. 19, comma 3, del
DLgs n. 196 del 2003 disciplina la sola comunicazione dei dati
personali diversi da quelli sensibili e giudiziali, mentre gli artt.
20, 21 e 22 del medesimo testo normativo disciplinano in termini
molto restrittivi il trattamento dei dati sensibili e di quelli
giudiziari.
In secondo luogo, il comma 2 dell'art. 12 ripete la volonta' di
rispettare la legislazione "in materia di protezione dei dati
personali", ma poi prevede che la Regione e gli enti regionali
incontrino il solo limite dell'art. 18 del DLgs n. 196 del 2003 nel
rendere disponibili i "dati contenuti nei propri sistemi
informativi", laddove, invece, il "Codice" prevede molteplici altri
limiti per i trattamenti effettuati da soggetti pubblici, individuati
nelle disposizioni dell'intero Capo II del Titolo III.
In terzo luogo, nel medesimo comma 2, si prevede un obbligo per "le
associazioni e i soggetti privati che operano in ambito regionale per
finalita' di interesse pubblico" di fornire "la disponibilita' dei
dati contenuti nei propri sistemi informativi", sia pure "nei limiti
previsti dal decreto legislativo n. 196 del 2003". E tuttavia un
obbligo del genere non e' previsto dal Codice, caratterizzato,
piuttosto, dalla normale preminenza della volonta' dell'interessato
in ordine al trattamento dei propri dati personali e dal fatto che
questi sono raccolti ed utilizzati per scopi determinati. Ne', certo,
appare sufficiente prevedere, come fa il secondo comma dell'art. 12,
che, ai fini della comunicazione dei dati, sia fornita "un'adeguata
informativa all'interessato e, ove previsto dalla legge, la richiesta
dello specifico consenso", perche' questi istituti sono configurati
dalla legislazione statale come preliminari, e comunque sempre
obbligatori al trattamento da parte dei privati o di enti pubblici
economici (cfr. artt. 13 e 23 del DLgs n. 196 del 2003).
Il contrasto delle disposizioni contenute nei primi due commi
dell'art. 12 con la disciplina dettata dal DLgs n. 196 del 2003
determina la illegittimita' costituzionale dell'intero art. 12 della
legge regionale n. 11 del 2004.
5. - Le censure mosse contro gli artt. 13 e 14 della legge regionale
n. 11 del 2004 sono solo in parte fondate.
Mentre non rileva, per quanto esposto al paragrafo 3, la competenza
esclusiva del legislatore statale in tema di "coordinamento
informativo statistico e informatico dei dati dell'Amministrazione
statale, regionale e locale", assume, invece, rilevanza l'assenza,
nell'art. 13 di ogni riferimento espresso al doveroso rispetto della
normativa a tutela dei dati personali: cio' tanto piu' in quanto
l'art. 13 configura un vero e proprio sistema informativo regionale,
nel quale confluiscono molteplici dati anche personali, sia ordinari
che sensibili, provenienti da diverse pubbliche Amministrazioni. Tali
dati, secondo la normativa statale, possono essere utilizzati solo
nei limiti e con tutte le garanzie da essa poste in relazione alla
protezione dei dati personali. Il mancato richiamo, da parte della
disposizione censurata, di tali garanzie e limiti, e dunque
l'utilizzabilita' dei dati personali nell'ambito del SIR, determina
l'illegittimita' costituzionale del comma 1 dell'art. 13 della legge
regionale n. 11 del 2004, nella parte in cui non richiama
espressamente il pieno rispetto della legislazione statale sulla
protezione dei dati personali.
6. - La dichiarazione d'incostituzionalita' del primo comma dell'art.
13 nel senso del doveroso rispetto da parte del Sistema informativo
regionale (SIR) della legislazione statale in materia, consente di
ritenere infondate le censure formulate nei confronti dell'art. 14
della medesima legge regionale essendo quest'ultima disposizione
meramente attuativa dell'art. 13, dal momento che definisce solo
alcune modalita' di funzionamento del sistema informativo regionale.
PER QUESTI MOTIVI
LA CORTE COSTITUZIONALE
dichiara l'illegittimita' costituzionale dell'art. 12 della legge
della Regione Emilia-Romagna 24 maggio 2004, n. 11 (Sviluppo
regionale della societa' dell'informazione);
dichiara l'illegittimita' costituzionale dell'art. 13, comma 1, della
Legge della Regione Emilia-Romagna 24 maggio 2004, n. 11, nella parte
in cui non richiama il rispetto della legislazione statale in materia
di protezione dei dati personali;
dichiara non fondate le questioni di legittimita' costituzionale
degli artt. 13, commi 2 e 3, e 14 della Legge della Regione
Emilia-Romagna 24 maggio 2004, n. 11, sollevate dal Presidente del
Consiglio dei ministri in riferimento all'art. 117 della
Costituzione, con il ricorso indicato in epigrafe.
Cosi' deciso in Roma, nella sede della Corte costituzionale, Palazzo
della Consulta, il 23 giugno 2005.
IL PRESIDENTE IL REDATTORE
Piero Alberto Capotosti Ugo De Siervo
IL CANCELLIERE
Maria Rosaria Fruscella
Depositata in Cancelleria il 7 luglio 2005.
