L'insieme delle potestà attribuite dalla legge sulla privacy all'interessato da un trattamento di dati personali viene ricondotto descrittivamente sotto la formula del diritto di accesso. La formula comprende un ampio spettro di facoltà, che la legge sulla privacy qualifica peraltro in termini di «diritti», idonei a prevenire abusi dei dati raccolti.
Il Titolo II del Codice della Privacy è rubricato “Diritti dell'interessato” e si suddivide in quattro articoli che riguardano:
• l'enunciazione dei diritti riconosciuti, tra cui il diritto 66 Questo istituto prior checking, è stato inserito dal decreto legislativo 467/2001 nella vecchia legge n. 675/1996 e poi mantenuto nell'attuale Codice Privacy, rappresenta una clausola di salvaguardia per i dati personali che non sono né sensibili né giudiziari ma che, in determinate situazioni, corrono rischi specifici.
dell'interessato ad accedere ai propri dati personali (art. 7); • la forma e le modalità di esercizio di questi diritti (artt. 8 e 9);
• i doveri imposti al Titolare del trattamento, al fine di dare riscontro ai diritti esercitati dall'interessato (art. 10).
I concetti di “diritti” e di “interessato” rappresentano il fulcro della disciplina.
I diritti dell'interessato rispetto ai propri dati sono le vere situazioni soggettive individuate per la prima volta dal legislatore e rispetto alle quali viene predisposto un sistema di tutela preciso e composito. Si tratta di strumenti di tutela a carattere generale, nel senso che vengono riconosciuti anche quando non vige la regola del consenso, ovvero non dipendono dal rilascio del consenso privacy. L'interessato, infatti, non sempre può impedire il trattamento dei propri dati, ma nonostante ciò potrà sempre esercitare il proprio potere di controllo nel rispetto dei diritti conferiti dalla legge.
Il dato normativo di riferimento è rappresentato dall'art. 7 del Codice che, in ragione dei suoi contenuti e delle sue implicazioni finalistiche sul versante della tutela, costituisce una norma chiave nel complesso sistema delineato dal
legislatore a tutela dei dati personali.
Il nuovo art. 7 riproduce, nella sostanza, la lettera del vecchio art. 13 della l. n. 675/96. Il comma 1 dell'art. 7 stabilisce che l'interessato ha diritto “di ottenere la conferma dell'esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile”. La comunicazione in forma intelligibile sta a sottolineare l'esigenza che la richiesta dell'interessato sia evasa senza frode e con la maggiore chiarezza possibile. Il principio espresso dal primo comma, ha la finalità di tutelare gli individui e “colmare, nei limiti del possibile, il gap di potere tra loro ed i signori dell'informazione.67
I diritti dell'interessato sono due:
a) il diritto ad avere la conferma che esistano (o meno) dati
personali che lo riguardano anche se non ancora registrati e ciò per allontanare il pericolo che il titolare possa evitare di rispondere alla richiesta, affermando che il dato non è stato ancora registrato in un determinato archivio. Come ha sottolineato il Garante, il Titolare è tenuto a fornire un resoconto anche se negativo;
b) il diritto di ottenere la comunicazione di tali dati in forma
intelligibile. L'intelligibilità comporta l'obbligo di dattiloscrivere documenti redatti con grafia non leggibile.68
L'art. 7 comma 2, individua nel dettaglio le indicazioni che l'interessato ha diritto di ottenere in merito alla conferma di dati personali che lo riguardano:
a) origine dei dati personali, ossia degli atti o dei soggetti, dai
quali i dati provengono prima di essere trattati;
b) finalità e modalità del trattamento e, cioè per quale motivo
il Titolare tratti i dati personali. Si tratta di due informazioni che permettono all'interessato di effettuare un controllo sulla liceità e correttezza del trattamento;
c) logica applicata in caso di trattamento effettuato con l'ausilio di strumenti elettronici. Con il termine “logica”, la
norma ha inteso riferirsi al metodo con cui i dati vengono trattati informaticamente.69 Questa disposizione richiama il
considerando 41 della direttiva 95/46/CE nella parte in cui afferma che le persone devono avere inoltre il diritto di conoscere la logica su cui si basa il trattamento automatizzato;
68 Al riguardo, si menziona una pronuncia dell'Autorità Garante circa la copia di una cartella clinica, che, scritta a mano, presentava una grafia incomprensibile. In questo caso, il Garante ordinò all'azienda ospedaliera di rilasciare una trascrizione dattiloscritta o, comunque comprensibile, delle informazioni contenute nella cartella clinica.
Garante Privacy, Newsletter 11 aprile 2003.
d) gli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell'art. 5, comma 2. Gli
estremi identificativi consistono nel nome, cognome e posizione professionale ricoperta;
e) soggetti o categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabilità o incaricati. Qui non si
fa riferimento ai soggetti attivi, cioè ai soggetti che trattano i dati, come nella lettera precedente, ma a coloro che sono i destinatari delle comunicazioni dei dati personali trattati, ossia di coloro che possono venire a conoscenza dei dati dell'interessato.
Il comma 3 dell'art. 7 attribuisce all'interessato il diritto di ottenere:
a) l'aggiornamento, la rettificazione e l'integrazione dei dati. Si
tratta di strumenti idonei ad esercitare un controllo effettivo sulle informazioni che riguardano l'interessato, al fine di far circolare un'immagine che sia congrua al modo in cui questi ritiene di dover esser rappresentato all'esterno, in linea con lo spirito complessivo della legge e delle esigenze proprie dei diritti della personalità. Questa norma è in stretta
correlazione con l'art. 11 comma 1 lett. c) d.lgs. n. 196/2003, espressione del principio di esattezza e aggiornamento dati;
b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati.
Tale disposizione riguarda il caso in cui l'interessato, dopo aver appurato che il trattamento è avvenuto in violazione della disciplina privacy, ha il diritto di ottenere rispettivamente:
– la cancellazione del dato, ossia la materiale distruzione del contenuto informativo;
– la trasformazione in forma anonima, in modo che i dati siano trasformati in maniera tale da perdere la divulgabilità all'interessato;
– il blocco dei dati e cioè la conservazione di dati personali, con sospensione temporanea di ogni altra operazione di trattamento.
c) l'attestazione che le operazioni di cui alla lettera a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui in tale adempimento si rivela
impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato.
Il comma 4, infine, contempla il diritto di opporsi al trattamento in tutto o in parte qualora ricorrano motivi legittimi o quando il trattamento sia effettuato per scopi di
direct marketing. Il diritto in esame, che mira a garantire la
tutela degli interessati, potrà essere esercitato non solo in presenza di trattamenti illeciti, ossia rispetto ai quali manchi un fondamento giuridico ovvero effettuati in violazione dei presupposti previsti dalla legge, ma anche nell'ipotesi di trattamenti leciti ove sussistano motivi preminenti e legittimi, derivanti da situazioni particolari dell'interessato.70
Parte della dottrina ha affermato che «il diritto di opposizione è nato a tutela dei singoli individui, come istituto parallelo ai poteri che il Garante può esercitare per la protezione di interessi rilevanti per la collettività».71
Gli artt. 8 e 9 del Codice Privacy, disciplinano la forma e le modalità di esercizio dei diritti sanciti nell'art. 7, mentre l'art. 10 affronta la fase conclusiva dell'iter procedimentale, analizzando gli adempimenti ai quali il Titolare del trattamento è chiamato.
70 G. Buttarelli, Banche dati e tutela della riservatezza, Giuffrè, 1997. 71 G. Buttarelli, op. cit., p. 313.
L' art. 8 trova i suoi precedenti normativi nell'art. 13 della direttiva CE 95/46, nell'art. 17, comma 1, d.p.r. n. 501/98 e nell'art. 14 della legge sulla protezione dei dati personali del dicembre 1996. Il comma 4, viceversa, rappresenta una novità rispetto al sistema normativo delineato dal legislatore del 1996; si tratta di una disposizione che sottrae all'interessato la facoltà di esercitare i diritti dell'art. 7 qualora questi siano tesi alla rettificazione o all'integrazione di dati di natura non oggettiva, ma soggettiva, attinenti a giudizi, opinioni o altri apprezzamenti di stampo soggettivo. L'art. 8 afferma che i diritti di cui all'art. 7 sono esercitati senza formalità e ciò significa che la richiesta dell'interessato potrà assumere la forma della domanda orale o scritta. Praticamente, la richiesta si esplica in una domanda che contiene le generalità del richiedente ed ha per oggetto uno o più dati e notizie acquisibili nell'esercizio dei diritti spettanti all'interessato. Alla richiesta deve essere fornito idoneo riscontro senza ritardo.
Le modalità di esercizio dei diritti, disciplinati dal nuovo Codice nell'art. 9, erano in precedenza disciplinate dal d.p.r. n. 501/98 recante norme per l'organizzazione ed il funzionamento dell'Ufficio del Garante per la protezione dei
dati personali, a norma dell'art. 33, comma 3, della legge 31 dicembre 1996, n. 675, in particolare dall'art. 17.
Gli artt. 8 e 9 sono strettamente collegati all'art. 7, in quanto il diritto di accesso ai dati personali e gli altri diritti riconosciuti all'interessato (art. 7) sono esercitati mediante richiesta rivolta al titolare o al responsabile del trattamento (art. 8) con le modalità descritte dall'art. 9.
Infine, il Codice, all'art. 10, intitolato riscontro all'interessato, si preoccupa di garantire l'effettività dell'esercizio dei diritti di cui all'art. 7 mediante un'articolata previsione di strumenti funzionali ad una piena soddisfazione delle richieste dell'interessato, contemplando a tal fine una serie di adempimenti in capo al titolare o al responsabile del trattamento.