La liberazione dei dati e la tutela della privacy: quale

rapporto?

Il continuo e rapido progresso tecnologico se da una parte ha determinato una maggiore semplificazione, trasparenza ed efficienza all’interno del settore pubblico, dall’altra, ha incrementato i pericoli relativi alla tutela dei dati personali. Se a ciò aggiungiamo le recenti misure normative che hanno aperto alla liberazione dei patrimoni informativi pubblici, sarà giocoforza indagare dapprima le nuove misure normative introdotte nell’ordinamento europeo in

146 _{E. Carloni, Il decreto “crescita”, in GDA, n. 11/2012, p. 1045.}

147 _{Agenzia per l’Italia digitale http://www.agid.gov.it/agenzia/competenze-funzioni.} 148 _{R. Carpentieri, L’Agenda digitale italiana, cit., p. 228.}

materia e successivamente riflettere sulla necessità di adeguare il nostro ordinamento in materia di tutela della privacy in modo tale da garantire il giusto contemperamento tra interessi pubblici contrapposti (trasparenza e pubblicità per i dati del patrimonio informativo pubblico e tutela della riservatezza).

Il testo originario di riferimento, a livello europeo, in materia di protezione dei dati personali, è costituito dalla direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995 “relativa alla tutela delle persone fisiche

con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”. La direttiva ha definito un quadro normativo volto a stabilire un

equilibrio fra un livello elevato di tutela della vita privata delle persone e la libera circolazione dei dati, anche personali, all'interno dell'Unione europea. A tal fine, la direttiva fissa limiti precisi per la raccolta e l'utilizzazione dei dati personali e chiede a ciascuno Stato membro l’istituzione di un organismo nazionale indipendente incaricato della protezione di tali dati. Ad esempio, è previsto che i dati personali, debbano essere trattati lealmente e lecitamente e rilevati per finalità determinate, esplicite e legittime e che il loro trattamento possa essere effettuato solo con il consenso esplicito della persona interessata. Attualmente la direttiva europea in materia di riutilizzo del patrimonio informativo pubblico prevede che le informazioni personali possedute dalle pubbliche amministrazioni siano riutilizzabili nel rispetto dei principi, dei diritti e degli obblighi disposti dalla Direttiva 95/46/CE “relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”, la quale afferma che tutte le informazioni

che non sono accessibili, non sono neppure riutilizzabili.

All’interno del nostro ordinamento, in materia di tutela della privacy e diffusione dei dati pubblici, numerosi ed importanti principi sono contenuti nella Deliberazione dell’Autorità Garante per la protezione dei dati personali del 2 marzo 2011, n. 88, con la quale sono state adottate le “Linee guida in

materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul Web”. La delibera dell’autorità garante ha lo scopo di definire un

primo quadro unitario di misure ed accorgimenti finalizzati ad individuare opportune cautele che i soggetti pubblici sono tenuti ad applicare in relazione alla pubblicazione dei propri dati sul web.

Tuttavia, la privacy non deve essere vista come un ostacolo insormontabile nel processo di apertura delle informazioni del settore pubblico. Infatti, la gran parte dei dati pubblici (basti pensare alle cartografie, oppure alle informazioni relative all’inquinamento) non può essere qualificata come dato personale in quanto, cioè, non riconducibile ad un soggetto.

In tutti gli altri casi, la privacy può essere efficacemente tutelata mediante specifiche modalità di protezione, quali l’inaccessibilità ai dati da parte dei motori di ricerca o la pubblicazione in forma anonima dei dati stessi o comunque adottando tutte le cautele idonee ad evitare che i soggetti cui i dati si riferiscono (siano essi individui, imprese, associazioni ed enti) possano essere identificati149_.

Tale impostazione è confermata dalla suddetta delibera del Garante della

Privacy, in cui si evince come il perseguimento della finalità di trasparenza

dell’attività delle pubbliche amministrazioni possa avvenire anche senza l’utilizzo dei dati personali. Ad avviso del Garante, infatti, «non si ravvisa la necessità di adottare alcuna specifica cautela qualora le pubbliche amministrazioni ritengano di pubblicare sul sito web informazioni non riconducibili a persone identificate o identificabili (ad esempio dati quantitativi aggregati per uffici riguardanti i livelli retributivi ed accessori risultanti dai contratti collettivi o da atti interni di organizzazione; tassi di assenza e di maggiore presenza del personale; informazioni relative alla performance dell’amministrazione; obiettivi assegnati agli uffici insieme ai relativi indicatori e ai risultati complessivi raggiunti; l’ammontare complessivo dei premi collegati alla performance stanziati e di quelli effettivamente distribuiti; dati relativi al grado di differenziazione nell’utilizzo della premialità; informazioni concernenti la dimensione della qualità dei

149_{, E. Belisario, G. Cogo, S. Epifani, C. Forghieri, Come si fa Open Data? Istruzioni per}

servizi erogati; notizie circa la gestione dei pagamenti e le buone prassi)»150_.

Di conseguenza, è opportuno che le amministrazioni, nell’attività di apertura dei dati che detengono, valutino quali accorgimenti porre in essere al fine di evitare la diffusione di dati personali non consentita dalla legislazione vigente, senza pregiudicare le finalità di trasparenza e di comunicazione alla base dell’Open Data.

Le notizie concernenti lo svolgimento delle prestazioni di chiunque sia addetto ad una funzione pubblica (espressione che ricomprende, tendenzialmente, tutti coloro che siano addetti ad una funzione pubblica, indipendentemente dalla posizione rivestita e dal titolo di legittimazione, come per esempio i funzionari della P.A., i dirigenti, i titolari di posizioni organizzative, gli organi di indirizzo politico–amministrativo) e la relativa valutazione non sono oggetto di protezione della riservatezza personale”151_.

Un esempio che mostra la dicotomia tra libero accesso ai dati e protezione della privacy è quello legato al sistema sanitario. Il riferimento è all’istituto del Fascicolo Sanitario Elettronico, previsto all’art. 12 del d.l. 18 ottobre 2012, n. 179, recante “Ulteriori misure urgenti per la crescita del Paese” quale «insieme dei dati e documenti digitali di tipo sanitario e sociosanitario generati da eventi clinici presenti e trascorsi, riguardanti l'assistito. Il FSE e' istituito dalle regioni e province autonome, nel rispetto della normativa vigente in materia di protezione dei dati personali, a fini di: a) prevenzione, diagnosi, cura e riabilitazione; b) studio e ricerca scientifica in campo medico, biomedico ed epidemiologico; c) programmazione sanitaria, verifica delle qualità delle cure e valutazione dell'assistenza sanitaria. Il FSE e' alimentato in maniera continuativa, senza ulteriori oneri per la finanza pubblica, dai soggetti che prendono in cura l'assistito nell'ambito del Servizio sanitario nazionale e dei

150 _{Garante per la protezione dei dati personali, Linee guida in materia di trattamento di dati} personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web, Provvedimento n. 88 del 2marzo

2011.http :// www. gar a ntepr ivac y. it/ gar ante/do c, j sp ? I D=17 932 03.

151 _{Commissione per la Valutazione, la Trasparenza e l’Integrità delle amministrazioni} pubbliche (Civit), Delibera n.105/2010 – Linee guida per la predisposizione del Programma

triennale per la trasparenza e l’integrità (articolo 13, comma 6, lettera e, del decreto legislativo 27 ottobre 2009,n. 150), pp. 8-9.

servizi socio-sanitari regionali, nonché, su richiesta del cittadino, con i dati medici in possesso dello stesso».

Il Garante per la protezione dei dati personali ha approvato le Linee guida in tema di Fascicolo sanitario elettronico (FSE) e di dossier sanitario, i quali forniscono delle regole a protezione dei dati sanitari del cittadino. Il documento è stato approvato il 16 luglio 2009 e prevede numerosi strumenti di archiviazione documentale come, ad esempio, l’informatizzazione della cartella clinica personale il cui contenuto però rimane protetto dalle norme del Codice sulla privacy. Ciò che risulta innovativo è invece la condivisione di documenti sanitari, aggiornati costantemente da più soggetti, per ricostruire la storia clinica individuale.

Lo scopo è quello di fornire al soggetto una miglior prospettiva di cura grazie all’intervento di più esperti, senza però intaccare le garanzie ed i diritti del paziente. Nel caso del Fascicolo sanitario, allora, viene assicurato che non vi sia una duplicazione della banca dati di un individuo da parte dei professionisti che l’hanno preso in cura; che siano facilmente individuabili i soggetti dai quali provengono le informazioni sanitarie; che ciascun soggetto che li ha prodotti autonomamente ne rimanga di regola l'unico titolare, anche ove le informazioni siano disponibili agli altri soggetti abilitati all'accesso. Inoltre, qualora si vogliano inoltre perseguire delle finalità amministrative inerenti l’ambito sanitario, è necessario accertare che i dati amministrativi vengano separati da quelli sanitari, prevedendo diversi profili di abilitazione degli aventi accesso in funzione della differente tipologia di operazioni ad essi consentite. In tal caso, il consenso deve essere autonomo e specifico, con la possibilità di “oscurare” alcuni particolari eventi clinici che il paziente non desidera vengano resi conoscibili ad altri.

Alcuni progetti di FSE garantiscono l'esercizio della “facoltà di oscuramento” mediante una “busta elettronica sigillata” non visibile, apribile di volta in volta solo con la collaborazione dell'interessato, ovvero utilizzando codici casuali relativi a singoli eventi che non consentono di collegare tra loro alcune informazioni contrassegnate. I titolari del trattamento, nel costituire il FSE e nell'individuare la tipologia di informazioni che possono esservi anche successivamente riportate, devono rispettare le disposizioni normative a tutela

dell'anonimato della persona, tra cui quelle a tutela delle vittime di atti di violenza sessuale o di pedofilia (l. 15 febbraio 1996, n. 66; l. 3 agosto 1998, n. 269 e l. 6 febbraio 2006, n. 38), delle persone sieropositive (l. 5 giugno 1990, n. 135), di chi fa uso di sostanze stupefacenti, di sostanze psicotrope e di alcool (d.P.R. 9 ottobre 1990, n. 309), delle donne che si sottopongono a un intervento di interruzione volontaria della gravidanza o che decidono di partorire in anonimato (l. 22 maggio 1978, n. 194; d.m. 16 luglio 2001, n. 349), nonché con riferimento ai servizi offerti dai consultori familiari (l. 29 luglio 1975, n. 405). Il titolare del trattamento può, pertanto, decidere di non inserire tali informazioni nel FSE, ovvero di inserirle a fronte di una specifica manifestazione di volontà dell'interessato, il quale potrebbe anche legittimamente richiedere che tali informazioni siano consultabili solo da parte di alcuni soggetti dallo stesso individuati. I dati sanitari documentati nel FSE non devono essere in alcun modo diffusi.

La circolazione indiscriminata delle informazioni idonee a rivelare lo stato di salute è infatti vietata espressamente dal Codice in materia di protezione dei dati personali (artt. 22, comma 8 e 23, comma 5, del d.lgs. n. 196/2003). Nell'utilizzo di sistemi di memorizzazione o archiviazione dei dati devono essere utilizzati idonei accorgimenti per la protezione dei dati registrati rispetto ai rischi di accesso abusivo, furto o smarrimento dei supporti di memorizzazione (ad esempio, attraverso l'applicazione anche parziale di tecnologie crittografiche a file system o database, oppure tramite l'adozione di altre misure di protezione che rendano i dati inintelligibili ai soggetti non legittimati).

In caso di revoca del consenso, il FSE non deve essere ulteriormente implementato. I documenti sanitari presenti devono restare disponibili per l'organismo che li ha redatti e per eventuali conservazioni per obbligo di legge, ma non dovranno essere più condivisi da parte degli altri organismi o professionisti che curino l'interessato.

Come si è visto, disponibilità dei dati pubblici non significa però automatica condivisione di tutte le informazioni o accesso indiscriminato alle stesse, dal momento che permangono gli stessi limiti alla conoscibilità dei dati previsti dal Codice in materia di protezione dei dati personali.

Sotto questo profilo, appare importante sottolineare come fare Open Data non implichi per l’amministrazione pubblica il fatto di rendere pubblici tutti i dati formati nell’esercizio delle proprie attività istituzionali, dal momento che il rispetto della riservatezza degli individui e delle imprese resta infatti una condizione per assicurare l’approvazione da parte dei cittadini per le operazioni di apertura dei dati pubblici, oltre che presupposto per conservare la fiducia degli individui nei confronti delle istituzioni.

Ulteriore profilo normativo che vede contrapposti l’esigenza di tutela della privacy e l’esigenza della pubblicazione è quello in materia di diritto d’autore. In particolare, la l. 22 aprile 1941, n. 633, intitolata “Protezione del diritto

d'autore e di altri diritti connessi al suo esercizio” tutela il diritto d’autore per

le opere dell’ingegno dotate di creatività, forme espressive di opere letterarie (come lettere, rapporti e guide) e grafiche (come cartografie e grafici), ed anche le raccolte ordinate di dati e informazioni o altri elementi indipendenti sistematicamente o metodicamente disposti ed individualmente accessibili mediante mezzi elettronici o in altro modo (banche dati o database).

Per le banche dati, il legislatore dispone una doppia tutela: l’art. 64-quinquies, della l. n. 633/1941, concede all’autore il diritto esclusivo di eseguire o autorizzare la riproduzione permanente o temporanea, totale o parziale, con qualsiasi mezzo o forma, la traduzione, l’adattamento e le modifiche, nonché qualsiasi forma di distribuzione al pubblico dell’originale o di copie; l’art. 102-bis, della l. n. 633/1941, a prescindere dall’esistenza di qualunque requisito di originalità, tutela il costitutore (vale a dire il soggetto che effettua investimenti rilevanti per la costituzione della banca di dati), assegnandogli il diritto di vietare le operazioni di estrazione o reimpiego di parti o della totalità della banca dati (c.d. diritto sui generis).

La normativa in materia di diritto d’autore si applica anche ai contenuti prodotti dal settore pubblico, salvo le eccezioni previste per legge. Così, ad esempio, l’art. 5 della l. n. 633/1941, statuisce che «le disposizioni di questa legge non si applicano ai testi degli atti ufficiali dello Stato e delle amministrazioni pubbliche, sia italiane che straniere»; particolare attenzione merita, inoltre, la norma dedicata alle opere realizzate dalle amministrazioni

con impegno di denaro pubblico, in relazione a cui l’art. 11 della l. n. 633/1941 dispone che «alle amministrazioni dello Stato, alle Province ed ai Comuni spetta il diritto d’autore sulle opere create e pubblicate sotto il loro nome e a loro conto e spese».

L’applicabilità della normativa in materia di diritto d’autore ai dati generati e gestiti dalle pubbliche amministrazioni può rappresentare, dunque, un limite alla diffusione e al riutilizzo degli stessi sotto un duplice profilo:

 in primo luogo, l’amministrazione deve porre particolare attenzione

alla titolarità delle informazioni che intende pubblicare, evitando di ledere i diritti d’autore e/o altri diritti di privativa di soggetti terzi;

 in secondo luogo, nella pubblicazione l’amministrazione deve adottare

le licenze necessarie ad evitare che l’esistenza del diritto d’autore e dei diritti connessi possa impedire, o comunque limitare, la possibilità di utilizzare i dati stessi per scopi diversi da quelli istituzionali.

Alla luce di quanto analizzato in questo capitolo, emerge come l’Open

Government rappresenti un processo di cambiamento a cui la pubblica

amministrazione italiana non potrà sottrarsi e tale percorso richiederà corposi investimenti nelle reti infrastrutturali di supporto alle nuove tecnologie digitali e telematiche.

Lo sviluppo di un nuovo modello di amministrazione realmente aperta e collaborativa, in cui i cittadini possano partecipare attivamente ai processi decisionali, potrà consentire agli enti e alle istituzioni di recuperare fiducia e credibilità nella società e al contempo di agevolare gli investimenti nel Paese. Infatti, attraverso questo processo di cambiamento, i governi centrali e locali avranno l'opportunità di far leva sull’apertura, la diffusione e la condivisione dei dati e delle informazioni, sfruttando i vantaggi che l'innovazione tecnologica offre, per rafforzare il rapporto con i cittadini e favorire la modernizzazione e la competitività del “sistema Paese”.