• Non ci sono risultati.

I diritti con natura di “controllo”

2. I L “C ONTROLLO ” NELLA VISIONE DELLE I STITUZIONI UE

2.2 La dimensione “individuale” del controllo

2.2.2 I diritti con natura di “controllo”

I diritti con natura di controllo permettono all’individuo di avere svolgere un’azione diretta nella gestione delle proprie informazioni, sia nella fase di acquisizione, che nella fase di archiviazione/elaborazione.

2.2.2.1 Il consenso (informato) e la revoca del consenso

Il consenso si pone in una posizione intermedia tra i diritti dell’interessato (infatti è suo diritto esprimere il consenso in merito ai trattamenti), ma anche, in determinati casi, come condizione necessaria per il trattamento, potendolo porre infatti tra i principi del trattamento, rectius che legittimano il trattamento.

Contrattualmente, il consenso è una dichiarazione unilaterale, con contenuto assentivo o adesivo, relativamente ad un’altrui richiesta di manifestazione di volontà.

In tema di diritti della personalità, il consenso ha acquisito una

69 Art. 34, par. 3, lett. a) Regolamento. 70 Art. 34, par. 3, lett. b) Regolamento.

CAPITOLO IV

98

straordinaria centralità, mediante il quale è possibile disporne71, in

deroga al dogma dell’indisponibilità. Infatti, si è assistito ad una progressiva espansione di questo istituto, fino a raggiungere il massimo apice con la normativa sul trattamento dei dati personali, portando la dottrina a parlare di “rinascita del consenso” o “rivincita del dogma del consenso” 72.

Il legislatore europeo ha sottolineato l’importanza di tale istituto, attribuendogli, a seconda delle necessità, diversi attributi per valutarne la legalità: esplicito, libero, informato, specifico. Infatti nella definizione di consenso che troviamo nella Direttiva 95/46/CE all’art. 2, lett. h), si legge: “qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento” e per quanto riguarda il trattamento dei dati appartenenti a categorie particolari73 di cui all’art. 8, si richiede che per superare il divieto al

trattamento, esso si basi sul consenso esplicito dell’interessato.

Il Codice italiano recependo la Direttiva ha scelto di inserire la definizione di consenso all’art. 23, dedicandole l’intera disposizione, aggiungendo due ulteriori attributi del consenso in determinati casi:

71 Zeno-Zencovich, V., Profili negoziali degli attributi delle personalità, in Diritto dell’Informazione e dell’Informatica, 1993, pp. 545 e ss.

72 Sul punto Sica, S., Il consenso al trattamento dei dati personali: metodi e modelli di qualificazione giuridica, in Riv. Dir. Civ., 2001, II, pp. 621 e ss.; in merito al

consenso informato in ambito medico Zeno-Zencovich, V., Il consenso: un

criterio giustificativo?, in Bonacchi, G. (a cura di), Dialoghi di Bioetica, Carocci,

Roma, 2003.

73 La definizione italiana di questa categoria di dati è “dati sensibili” (v. art.

CAPITOLO IV

99 documentato (per iscritto) e forma scritta.

Tuttavia, la differenza sostanziale tra le due disposizioni sta negli effetti, infatti, mentre nella Direttiva il consenso è condizione generale e normale della liceità dei trattamenti (salvo il ricorrere di alcune fattispecie derogatorie), il Codice italiano prevede che sia condizione essenziale di liceità soltanto per i trattamenti posti in essere dai privati e dagli enti pubblici economici, dando rilevanza al fatto che i trattamenti posti in essere dalla P.A. siano autosufficienti in virtù delle disposizioni attributive di competenze, rendendo necessaria esclusivamente l’informativa.74 Come autorevolmente sostenuto, “[i]l

consenso costituisce […] solo uno dei diversi meccanismi di cui serve il legislatore per disciplinare il fenomeno del trattamento dei dati ed operare forme di bilanciamento degli interessi coinvolti nella circolazione delle informazioni. Secondo il modello della strategia giuridica integrata esso risulta a volte superfluo, altre volte insufficiente”75.

Quanto però alla natura giuridica del consenso, si rilevano opinioni discordanti76. La disputa si pone tra “i fautori della ricostruzione in

termini negoziali della fattispecie, i sostenitori della natura di atto, i

74 Pizzetti, F., Privacy e il diritto europeo alla protezione dei dati personali. Dalla Direttiva 95/46 al nuovo Regolamento europeo, Op. cit., p. 212.

75 Resta, G., Revoca del consenso ed interesse al trattamento nella legge sulla protezione dei dati personali, in Breccia, U., Bruscuglia, L., Busnelli, F.D., Il diritto privato nel prisma dell’interesse legittimo, Torino, 2001, pp. 34 e ss.; e in Rivista critica del diritto privato, 2000, p. 306.

76 Per un approfondita disamina: Sica, S., Il consenso al trattamento dei dati personali: metodi e modelli di qualificazione giuridica, Op. cit. e Mantelero, A., Il costo della privacy tra valore della persona e ragione d’impresa, Giuffrè, Milano,

CAPITOLO IV

100

propugnatori del consenso come requisito di legittimità del trattamento, o con le sembianze dell’ ‘autorizzazione’ o con le altre del ‘consenso dell'avente diritto’, ex art. 50 c.p.”77. Ad ogni modo,

cercando di delineare le tesi maggioritarie, si evidenziano quella “negoziale” e quella “autorizzativa”.

Chi pone l’accento sulla rilevanza economica relativa alla circolazione dei dati personali, tende a privilegiare la tesi “negoziale” del consenso, propendendo per una reificazione dell’informazioni e pertanto autonomamente suscettibili di essere oggetto di atti dispositivi contrattuali.78 Argomentando inoltre, che il permanere di

alcuni diritti in capo all’interessato (tra cui spicca il diritto di opposizione), permette di riconoscere un controllo sulla sorte dei dati, considerando che il permanere di situazioni soggettive in capo al disponente sarebbe indice di un particolare regime di circolazione “controllata” limitatamente al bene-informazione. 79

Del segno opposto, chi sostiene la natura “autorizzativa” del

77 Sica, S., Il consenso al trattamento dei dati personali: metodi e modelli di qualificazione giuridica, Op. cit., che prosegue sostenendo “Se si sceglie di

assecondare l’“ansia” catalogatoria, si assume il rischio ineluttabile delle rispettive avverse obiezioni e, soprattutto, si deve fare i conti con la frustrazione di non rinvenire una formula idonea a ricomprendere per intero la situazione in esame”; concorde con Alpa, G., La disciplina dei dati personali.

Note esegetiche sulla legge 31 dicembre 1996 n. 675 e successive modifiche,

Formello SEAM, Roma, 1998, p. 90.

78 In proposito in proposito Zeno-Zencovich, V., Una lettura comparatistica della L. n. 675/96 sul trattamento dei dati personali, in Riv. trim. dir. proc. civ.,

1998, p. 740. Si vedano inoltre: Zeno-Zencovich, V., Il "consenso informato" e

la "autodeterminazione informativa" nella prima decisione del Garante, in Corr. giur., Ipsoa, 1997, pp. 919 e ss.; Zeno-Zencovich, V., voce Personalità (diritti della), in Dig. IV, disc. priv., sez. civ., XIII, Torino, 1995, p. 438; v. anche

Carbone, V., Il consenso, anzi i consensi, nel trattamento informatico dei dati

personali, in Danno e responsabilità, 1998, pp. 23 e ss. 79 Mantelero, A., Privacy, Op. cit.

CAPITOLO IV

101

consenso, sostenendo che l’atto unilaterale del consenso permette di escludere la responsabilità extracontrattuale di chi sfrutti economicamente i dati altrui 80 , ossia “di concorrere al

raggiungimento dei requisiti in presenza dei quali il “procedimento di trattamento” non è represso dall'ordinamento”81, focalizzandosi su

una concezione procedimentale del consenso.

Autorevole dottrina afferma come, alla luce del D.Lgs. 196/2003, sia possibile percorrere una “terza via”, secondo la quale la “definizione di standard operativi tecnici e comportamentali in grado di impedire, o quanto meno ridurre, ex ante l’illecito trattamento dei dati”, permette di superare la “centralità assoluta della volontà del singolo in favore di un più complesso intervento avente ad oggetto direttamente le modalità di trattamento dei dati, capace di assicurare un livello minimo di tutela”82, ovvero di poter trattare i dati personali

senza necessità del consenso dell’interessato83.

In ogni caso, l’interessato per prestare il proprio consenso deve essere “informato”, richiamando così il “diritto all’autodeterminazione

80 Resta, G., Revoca del consenso ed interesse al trattamento nella legge sulla protezione dei dati personali, Op. cit., p. 306.

81 Sica. S., Il consenso al trattamento dei dati personali: metodi e modelli di qualificazione giuridica, Op. cit.

82 Mantelero, A., Privacy, Op. cit., che per sostenere la tesi, argomenta:

“prova ne sia il fatto che il semplice consenso dell’avente diritto non è di per sé sufficiente ad escludere l’illiceità del trattamento qualora non si sia ottemperato alle regole operative inerenti le modalità di raccolta e di gestione dei dati”.

83 Art. 24, D.Lgs. 196/2003, rubricato “Casi nei quali può essere effettuato il trattamento senza consenso”.

CAPITOLO IV

102

informativa”84. Secondo la giurisprudenza tedesca85, tale diritto è

definibile come il diritto del singolo a decidere in prima persona sulla cessione e l’uso dei dati che lo riguardano. È indubbio che tale concetto sia strettamente legato alla costruzione dell’identità dell’individuo, ovvero alle sue libertà. 86 Però, parlare di

autodeterminazione informativa e di informativa al trattamento dei dati personali rischia di essere fuorviante, pertanto è necessario distinguerne le strutture, anche se collegate da un nesso funzionale. Infatti l’informativa svolge nei confronti dell’interessato la funzione principale di renderlo edotto delle modalità e delle finalità del trattamento, nonché di tutti gli altri aspetti ad esso concernenti (da chi saranno trattati i dati, con quali mezzi, ecc.), a cui si aggiungono i diritti connessi al trattamento e le relative modalità di esercizio (diritto di accesso, di opposizione, ecc.). Queste informazioni permettono all’individuo di poter prendere una decisione consapevole in relazione alla “cessione” dei propri dati, ossia valutare concretamente se dare o meno il consenso. Questo è il primo tassello dell’autodeterminazione, cioè la facoltà di scelta. Ma l’autodeterminazione informativa, di cui si parlava precedentemente,

84 Questo principio deriva dalla dottrina tedesca proprio a partire dalle

problematiche relative ai dati personali. Zeno-Zencovich, V., Il "consenso

informato" e la "autodeterminazione informativa" nella prima decisione del Garante, in Corr. giur., 1997, p. 919 e ss.

85 Volkszählungsurteil, Bundesverfassungsgericht del 15 dicembre 1983, Az.

1 BvR 209/83, 1 BvR 484/83, 1 BvR 440/83, 1 BvR 420/83, 1 BvR 362/83, 1 BvR 269/83 ( Sentenza, Corte Costituzionale Federale Tedesca).

86 Frosini, T.E., Google e il diritto all’oblio preso sul serio, in G. Resta e V. Zeno

Zenovich (a cura di), Il diritto all’oblio su Internet dopo la sentenza Google Spain, RomaTre-Press, Roma, 2015, pp. 1 e ss.

CAPITOLO IV

103

è composta anche di tutti i diritti utili a garantire la gestione delle proprie informazioni (ad es. rettifica, cancellazione, ecc.). In questo senso, l’autodeterminazione informativa è il connubio di consapevolezza ed esercizio dei diritti, al fine di poter esporre le proprie informazioni personali in modo libero o comunque autogestito.

Il diritto all’autodeterminazione informativa è stato trasposto recentemente all’art. 6 della Dichiarazione dei diritti in Internet, volendo sottolinearne l’importanza anche all’Interno di questo “nuovo mondo”.

Tornando al consenso, il suo esercizio da parte dell’interessato non esprime disinteresse nei confronti dei propri dati, né tantomeno una rinuncia agli stessi, quanto piuttosto “pone in essere un vero e proprio atto di esercizio di quel diritto di autodeterminazione nella sfera delle scelte personali” 87 . Dare rilevanza al consenso

subordinando la legittimità del trattamento al suo rilascio, significa riconoscere all’individuo il potere di fare delle scelte in merito alle proprie informazioni e alla loro eventuale elaborazione, nonché il potere di definire le modalità gestione dei dati personali, ed è per questo che il consenso deve essere “libero, consapevole e informato”.88

87 Resta, G., Revoca del consenso ed interesse al trattamento nella legge sulla protezione dei dati personali, Op. cit.

88 G. Resta, Revoca del consenso ed interesse al trattamento nella legge sulla protezione dei dati personali, Op. cit.

CAPITOLO IV

104 Il consenso nel Regolamento UE 679/2016

Il nuovo Regolamento, in continuità con quanto disposto dalla Direttiva 95/46/CE, conferma una posizione chiave del consenso dell’interessato tra le condizioni di liceità del trattamento (art. 6, par. 1, lett. a)89. Infatti, mancando un consenso esplicitato nelle modalità

di cui all’art. 7 del Regolamento, è lo stesso legislatore comunitario a dettare regole rigide ai fini di una valutazione di liceità del trattamento90.

Il considerando n. 32) espone i principi attinenti alla manifestazione del consenso anche on line, precisando che anch’esso debba avere gli attributi fondamentali che compongono tale istituto: libero, specifico, informato e inequivocabile91.

Tali caratteristiche sono riportate nell’art. 4, n. 11, relativo alle “definizioni”, in cui si menzionano le modalità di manifestazione ritenute idonee a soddisfare le condizioni relative al consenso, ovverosia mediante una dichiarazione o una azione positiva inequivocabile92.

Le “condizioni per il consenso” sono espresse nell’art. 7 del

89 Che così dispone: “1. Il trattamento è lecito solo se e nella misura in cui

ricorre almeno una delle seguenti condizioni: a) l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità”.

90 Anche l’art. 24 del D.Lgs. 196/2003 prevede i “Casi nei quali può essere effettuato il trattamento senza consenso”.

91 Sul punto si veda anche Article 29 Data Protection Working Party, Opinion 15/2011 on definition of consent, WP n. 187, 13 luglio 2011.

92 L’azione positiva per la manifestazione del consenso la ritroviamo anche nel

Provvedimento Generale del Garante per la protezione dei dati personali,

Individuazione delle modalità semplificate per l'informativa e l'acquisizione del consenso per l'uso dei cookie - 8 maggio 2014, (Pubblicato sulla Gazzetta Ufficiale n. 126 del 3 giugno 2014).

CAPITOLO IV

105

Regolamento. Dal primo paragrafo93 si evince l’onere probatorio

invertito rispetto all’effettiva manifestazione del consenso, configurandosi così una maggiore tutela nei confronti dell’interessato. Sotto questo aspetto, sarà il titolare del trattamento a dover dare prova dell’effettiva, nonché informata, manifestazione di volontà, disponendo dei mezzi tecnologici idonei alla conservazione della dichiarazione o dell’azione attiva inequivocabile di manifestazione del consenso. In ogni caso, detto onere, non si riverbera solo nei confronti dell’Autorità di controllo o dell’Autorità Giudiziaria, ma anche nei confronti dell’interessato con i relativi diritti di accesso.

Il secondo paragrafo94 si allinea ai principi di correttezza e

trasparenza, con il chiaro intento di aumentare la consapevolezza dell’interessato, nonché il controllo sui dati. Infatti, il consenso, se inserito all’interno di un più ampio contesto a cui aderire, deve essere tenuto in modo “chiaramente distinguibile dalle altre materie”, nonché “in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro”. L’ultimo periodo95, in aggiunta,

93 “1. Qualora il trattamento sia basato sul consenso, il titolare del

trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso al trattamento dei propri dati personali”.

94 “2. Se il consenso dell'interessato è prestato nel contesto di una

dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso è presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro”.

95 “Nessuna parte di una tale dichiarazione che costituisca una violazione

CAPITOLO IV

106

integra una nullità parziale delle dichiarazioni96 in contrasto con

quanto disposto dal Regolamento.

Al terzo paragrafo97, inserisce il diritto dell’interessato di poter

revocare il consenso “in ogni momento”, che deve essergli reso noto al momento in cui lo esprime (nell’informativa). Importante è la precisazione riguardo alla liceità del trattamento svolto antecedentemente la revoca (ovviamente, se lecito ab origine), ovvero un’efficacia ex nunc della revoca, non pregiudicando così la posizione soggettiva (nonché gli interessi) del titolare del trattamento.

Soffermandosi un momento sulla revoca del consenso, è necessario evidenziare che all’interno della Codice della Privacy italiano, la revoca “in ogni momento” è una facoltà dell’interessato esclusivamente per il consenso prestato in relazione agli artt. 123, 126 e 130, rispettivamente i dati relativi al traffico, all’ubicazione, nonché relativamente alle comunicazioni elettroniche indesiderate (derivanti dalla Direttiva 2002/58/CE – e-Privacy Directive), mentre per i trattamenti di “altri” dati, il legislatore vi ha riservato l’istituto dell’opposizione, sottoposto alla formulazione di “motivi legittimi”98

96 Vista la struttura del paragrafo citato, si dovrebbe ritenere che la nullità

parziale riguardante le dichiarazioni in contrasto con il regolamento, sia da attribuire solo in caso di dichiarazione cumulativa con altre materie.

97 “3. L'interessato ha il diritto di revocare il proprio consenso in qualsiasi

momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca. Prima di esprimere il proprio consenso, l'interessato è informato di ciò. Il consenso è revocato con la stessa facilità con cui è accordato”.

98 Provv. 5 novembre 2004, in Boll. n. 55 novembre 2004, [doc. web n.

1103373], relativo ad una fattispecie in tema di trattamento dei dati personali da parte di una Centrale Rischi Privata; Provv. 10 giugno 2004, Boll., n. 51

CAPITOLO IV

107

da parte dell’interessato nel caso in cui i dati siano pertinenti allo scopo della raccolta, mentre ad libitum se il trattamento è svolto per finalità di marketing, nonché nei negozi stipulati a titolo gratuito, considerando la configurazione unilaterale della fattispecie dispositiva99. L’opposizione per motivi legittimi è richiesta anche nei

casi previsti ai sensi degli artt. 90 (trattamento dei dati genetici e donatori di midollo osseo) e 100 (dati relativi ad attività di studio e di ricerca), ma in queste fattispecie il Garante è intervenuto più volte disponendo che “[i]n conformità all'art. 23 del Codice, il consenso resta valido solo se l'interessato è libero da ogni condizionamento o coercizione e resta revocabile liberamente in ogni momento”100.

Revoca del consenso e opposizione, non sono due strumenti intercambiabili, ovvero spendibili indistintamente dalla situazione specifica. Vero è che entrambi hanno ad oggetto il trattamento ed entrambi ne determinano la cessazione, tuttavia sussistono differenze di tipo concettuale nonché applicativo. In particolare, la revoca del consenso presuppone la prestazione di un consenso dato anteriormente, quindi può essere esercitata solo in quanto la base giuridica su cui poggia il trattamento è legata al consenso,

giugno 2004 [doc. web n. 1041182]; Provv. 20 maggio 2004, in Boll., n. 50 maggio 2004, [doc. web. n. 1098239].

99 Resta, G., Identità personale e identità digitale, in Il diritto dell’informazione e dell’informatica, Anno XXIII, Fasc. 3, Giuffrè, 2007; Id, Revoca del consenso ed interesse al trattamento nella disciplina del trattamento dei dati personali, Op. cit. 100 Autorizzazione n. 8/2014 - Autorizzazione generale al trattamento dei

dati genetici - 11 dicembre 2014 [doc. web n. 3632835]; così anche l’Autorizzazione Generale al trattamento dei dati genetici – 22 febbraio 2007 [doc. web n. 1389918].

CAPITOLO IV

108

diversamente, per l’opposizione, il preventivo consenso non è necessario e può rivolgersi anche verso quei trattamenti che non lo necessitano. Verosimilmente, “l’area di sovrapposizione applicativa tra revoca e opposizione finisce per riguardare l’ambito relativo al marketing”101.

Infine, l’ultimo paragrafo102 dell’art. 7, si pone nell’ottica della

valutazione a posteriori della libertà del consenso, mettendo in luce quanto la necessità di conferimento dei dati sia precipua rispetto all’esecuzione del contratto o del servizio, ovvero se vi sia una forzatura alla prestazione del consenso da parte dell’interessato. La figura dell’interessato all’interno della normativa sembra collocarlo a priori in una posizione di soggezione rispetto al titolare del trattamento, quasi da poterlo assimilare alla figura consumatore rispetto al professionista. Ma interpretando il concetto di squilibrio in tal senso si correrebbe il rischio di svuotare di significato ogni aspetto relativo ai presupposti di liceità del trattamento, nonché tutti gli obblighi ad esso relativi, dato che il singolo utente potrebbe sempre ricorrere a questo tipo di posizione d’inferiorità di partenza, anche al fine di crearsi un funzionale alibi alla propria condotta.103 Con la

101 E. Pelino, I diritti dell’interessato, in L. Bolognini, E. Pelino, C. Bistolfi, Il Regolamento privacy europeo. Commentario alla nuova disciplina sulla protezione dei dati personali, Giuffrè, Milano, 2016, pp. 244.

102 “4. Nel valutare se il consenso sia stato liberamente prestato, si tiene nella

massima considerazione l'eventualità, tra le altre, che l'esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all'esecuzione di tale contratto”.

CAPITOLO IV

109

nuova formulazione il limite si sposta sul concetto di finalità del trattamento rispetto al consenso, determinando la caducazione del consenso nel momento in cui detto scopo viene raggiunto ovvero non è più raggiungibile, riportando in vita i principi generali di finalità, necessità e proporzionalità del trattamento dei dati personali.

L’inferiorità a priori che trova il suo spazio nella posizione dei minori che, in linea con la tutela apprestata dal Regolamento al consenso, viene sottolineata dedicando l’intero art. 8 alla materia.104 Si legge

infatti che “Qualora [sia richiesto il consenso], per quanto riguarda l’offerta diretta di servizi della società dell’informazione ai minori, il trattamento di dati personali è lecito ove il minore abbia almeno 16 anni. Ove il minore abbia un’età inferiore ai 16 anni, tale trattamento è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale”, aggiungendo poi, volendo quasi anticipare l’eventuale non curanza dell’avente potestà e degli Stati medesimi, un limite minimo ulteriore di 13 anni. L’onere di verificare l’età del soggetto ricade sul titolare del trattamento, “in modo ragionevole” e “in considerazione delle tecnologie disponibili”. Rendendo perciò palese la possibilità che un minore possa trarre in inganno il titolare per mezzo dell’interposto

comunitario in materia di trattamento di dati personali: criticità, limiti e prospettive

Documenti correlati