I presupposti di legittimità: informativa consenso

Il Codice in materia di protezione dei dati personali pone in capo ai titolari del trattamento, nei confronti dell’interessato, alcuni adempimenti che prescindono dalla natura pubblica o privata del soggetto titolare del trattamento102.

Ancora prima della raccolta o alla prima comunicazione dei dati il primario strumento attraverso cui garantire il diritto dell’interessato di controllare la circolazione delle informazioni che lo riguardano è costituito dall’informativa sul trattamento dei dati personali103.

L’informativa è stata sempre al centro di accessi dibattiti dottrinali104

e giurisprudenziali105 e al riguardo un’autorevole dottrina ha affermato che “se si vivono

101 _{Cfr. G. Finocchiaro, Privacy e protezione dei dati personali, Zanichelli, 2012, pp. 73-76.} 102 _{Sul punto F. Bravo, Le condizioni di liceità del trattamento dei dati, in J. Monducci, G. Sartor}

(a cura di), Il Codice in materia di protezione dei dati personali, Cedam, Padova, 2004, nonché J. Monducci, Diritti della persona e trattamento dei dati particolari, Giuffrè, Milano, 2003.

103 _{In materia di informativa e consenso. Cfr. le pronunce dell’Autorità Garante del 19 giugno}

1997, in Boll. n. 1, 21, [doc. web n. 1161215]; 28 luglio 1997, in Boll. n. 1, 24-25 [doc. web. n. 40057]; 8 settembre 1997, in Boll. n. 2, 13-14 [doc. web n. 1055101]; 21 ottobre 1997, in Boll. n. 2, 21-22 [doc. web n. 40855]; 22 ottobre 1997, in Boll. n. 2, 25-27 [doc. web. n. 1055346].

104 _{Buttarelli, attuale Garante europeo, etichettò l’informativa come: “uno stanco e formale}

adempimento, che deve caratterizzare sempre più una relazione leale e corretta con l’interessato. v. http://www.interlex.it/675/buttarelli2.htm (Ultimo accesso giugno 2017)

44 le norme sulla tutela dei dati personali come un’autentica conquista civile, si perdona quel tanto di burocrazia che portano nella nostra vita”.106

L’informativa, disciplinata dall’art. 13 del Codice, costituisce un adempimento generale a cui, salvo casi eccezionali, sono sottoposti tutti i titolari di trattamento ed ha la finalità di chiarire in modo semplice e completo quale utilizzo verrà fatto dei dati personali. Infatti, proprio nell’ottica del consenso informato, l’interessato deve avere la possibilità di sapere, per liberamente orientare le proprie scelte, quali siano le conseguenze del suo rifiuto di conferire i dati.

Secondo l’art. 13, l’informativa deve contenere obbligatoriamente:

a) le finalità e le modalità del trattamento cui sono destinati i dati; b) la natura obbligatoria o facoltativa del conferimento dei dati; c) le conseguenze di un eventuale rifiuto di rispondere;

d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi; e) i diritti di cui all'articolo 7;

f) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell'articolo 5 e del responsabile. Quando il titolare ha designato più responsabili è indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l'elenco aggiornato dei responsabili. Quando è stato designato un responsabile per il riscontro all'interessato in caso di esercizio dei diritti di cui all'articolo 7, è indicato tale responsabile.

È opportuno porre mente alla circostanza che, molto spesso, i dati vengono raccolti presso soggetti terzi diversi dall’interessato. In tale circostanza, non potendo il titolare fornire l’informativa all’interessato stesso, l’art. 13, comma 4, impone che questa, con l’indicazione delle categorie di dati trattati, venga fornita all’interessato a cui i dati si riferiscono all’atto della registrazione o non oltre la prima comunicazione, quando questa sia prevista.

Infine, si rammenta che la norma prevede che l’informativa possa essere resa sia in forma scritta che orale; non è pertanto richiesto uno specifico onere di forma. La

105 _{Per trattamenti particolarmente invasivi nella sfera personale dell’interessato, l’obbligo}

dell’informativa è stato rimarcato più volte dalla giurisprudenza. Ad esempio il Consiglio di Stato, in materia di dati sensibili, ha statuito che “il regolamento per la disciplina del trattamento dei dati

informativi da inserire nelle schede relative ai pazienti dimessi dagli istituti di cura pubblici e privati deve prevedere anche modalità atte a garantire l’informativa ai pazienti da parte del medico titolare del trattamento terapeutico”. Consiglio di Stato, Sez. I, 18 settembre 2000, n. 146.

45 scelta è tuttavia rimessa al titolare, che sceglierà sulla base del tipo di strumento utilizzato per la raccolta dei dati presso l’interessato.

L’informativa, come noto, non esaurisce gli obblighi del titolare per quanto concerne il trattamento dei dati personali. Un ulteriore e necessario presupposto di legittimità è dato dall’art 23 del Codice, che richiede al titolare di munirsi di un apposito consenso al trattamento.

Nello specifico il consenso rappresenta una libera espressione e dichiarazione di volontà dell’interessato, è un elemento essenziale, dunque, dal momento che proprio in forza di esso l’interessato può esercitare l’effettivo potere di controllo sull’uso dei propri dati personali107.

La volontà di acconsentire al trattamento deve essersi formata dopo un’esatta rappresentazione delle circostanze rilevanti: il consenso deve, quindi, essere “informato”108_{: l’interessato, in altri termini, deve avere previamente ricevuto}

informazioni complete e adeguate, contenute nell’informativa, tali da consentirgli di validamente decidere se prestare o meno il proprio consenso109.

Forti analogie sono riscontrabili tra tale consenso e il consenso informato in ambito medico, che è espressione del diritto del paziente di scegliere, accettare o anche eventualmente rifiutare i trattamenti che gli vengono proposti, con “profili interconnessi di rilevanza giuridica, etico-filosofica e medico-legale”110.

Il Codice Privacy all’art. 23 non si limita a prevedere la mera necessità del consenso, ma stabilisce anche quelli che sono i suoi i suoi requisiti di validità.

Il codice infatti dispone che il consenso è valido solo se:

- è espresso liberamente e specificamente in riferimento ad un trattamento ben definito (laddove la libertà di espressione dello stesso implica l’assenza condizionamenti dell’interessato al momento in cui questo viene reso);

- è documentato per iscritto, quando il trattamento riguarda dati sensibili;

107 _{Concetto approfondito da Acciai che afferma “dalle notizie in tal modo acquisite l'interessato}

può effettivamente decidere l'an e il quomodo della circolazione dei propri dati personali, finendo, così, anche tale requisito, per incidere sulla libertà di controllare i propri dati personali da parte del soggetto cui gli stessi si riferiscono”. v. Acciai R. (a cura di), Il diritto alla protezione dei dati personali. La disciplina sula privacy alla luce del nuovo Codice, Maggioli editore, Santarcangelo di Romagna, 2004, p.

123.

108

In tema di “Consenso informato” si veda: F. Ciciliano, La disciplina giuridica del consenso

informato, Arnus University Books, Pisa, 2013; G. Casciaro, Il consenso informato, Giuffré, 2012.

109 _{Da specificare che il consenso prestato per un determinato trattamento non può legittimare il}

medico ad eseguirne uno diverso, per natura od effetti, salvo sopraggiunga una situazione di necessità ed urgenza – non preventivamente prospettabile – che determini un pericolo serio per la salute o la vita del paziente.

110 _{C. Faralli, Introduzione, in Id. (a cura di), Consenso informato in medicina. Aspetti etici e}

46 - sono state rese all’interessato le informazioni di cui all’art. 13 (in un’ottica di trasparenza dell’operato del titolare nei confronti dell’interessato).

Il consenso, a pena di nullità, deve essere prestato prima dell’inizio del trattamento e comunque dopo aver avuto conoscenza dell’informativa. Esso può riguardare l’intero trattamento oppure una o più operazioni del medesimo e, comunque, può essere liberamente revocato, ferma restando la legittimità delle attività di trattamento svolte prima della revoca.

Per completezza va inoltre menzionato l’art. 24 del Codice, che prevede tutta una serie di ipotesi di esclusione dell’obbligo del consenso.

Difatti, il trattamento è lecito senza che debba essere richiesto il consenso quando i dati sono:

a) necessari per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;

b) necessari per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell'interessato;

c) provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati;

d) relativi allo svolgimento di attività economiche, trattati nel rispetto della vigente normativa in materia di segreto aziendale e industriale;

e) necessari per la salvaguardia della vita o dell'incolumità fisica di un terzo. Se la medesima finalità riguarda l'interessato e quest'ultimo non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere, il consenso è manifestato da chi esercita legalmente la potestà, ovvero da un prossimo congiunto, da un familiare, da un convivente o, in loro assenza, dal responsabile della struttura presso cui dimora l'interessato. Si applica la disposizione di cui all'articolo 82, comma 2.