Sulla Gazzetta Ufficiale del 14 marzo 2018 n. 61 è stato pubblicato il D.P.R. n. 15 del 15 gennaio 2018, ossia il regolamento che individua le modalità di attuazione dei principii del cosiddetto Codice della Privacy (D. Lgs. 196/2003) in relazione al trattamento dei dati effettuato dalle forze di polizia esclusivamente per finalità di polizia giudiziaria e di tutela dell’ordine e della sicurezza pubblica; il regolamento si compone di 8 Capi e 31 articoli ed esclude (art. 1, co. 2) dalla sua disciplina le finalità di polizia amministrativa; queste ultime, individuate dall’art. 54, co. 2, del Codice della Privacy, soggiacciono alla normativa generale attualmente rappresentata dal medesimo Codice; il D.P.R. 15/2018, riguarda le sole finalità di polizia elencate nell’art. 53 del Codice della Privacy, che sotto riportiamo testualmente:
Art. 53. Ambito applicativo e titolari dei trattamenti
1. Agli effetti del presente codice si intendono effettuati per finalità di polizia i trattamenti di dati personali direttamente correlati all’esercizio dei compiti di polizia di prevenzione dei reati, di tutela dell’ordine e della sicurezza pubblica, nonché di polizia giudiziaria, svolti, ai sensi del codice di procedura penale, per la prevenzione e repressione dei reati.
2. Ai trattamenti di dati personali previsti da disposizioni di legge, di regolamento, nonché individuati dal decreto di cui al comma 3, effettuati dal Centro elaborazione dati del Dipartimento della pubblica sicurezza o da forze di polizia sui dati destinati a confluirvi, ovvero da organi di pubblica sicurezza o altri soggetti pubblici nell’esercizio delle attribuzioni conferite da disposizioni di legge o di regolamento non si applicano, se il trattamento è effettuato per finalità di polizia, le seguenti disposizioni del codice:
a) articoli 9, 10, 12, 13 e 16, da 18 a 22, 37, 38, commi da 1 a 5, e da 39 a 45;
b) articoli da 145 a 151.
3. Con decreto adottato dal Ministro dell’interno, previa comunicazione alle competenti Commissioni parlamentari, sono individuati, nell’allegato C) al presente codice, i trattamenti non occasionali di cui al comma 2 effettuati con strumenti elettronici e i relativi titolari.
Il regolamento in esame ha visto la luce, recentemente, in ottemperanza alle prescrizioni dell’art. 57 del Codice della Privacy, che qui riportiamo:
Art. 57. Disposizioni di attuazione
1. Con decreto del Presidente della Repubblica, previa deliberazione del Consiglio dei ministri, su proposta del Ministro dell’interno, di concerto con il Ministro della giustizia, sono individuate le modalità di attuazione dei principi del presente codice relativamente al trattamento dei dati effettuato per le finalità di cui all’articolo 53 dal Centro elaborazioni dati e da organi, uffici o comandi di polizia, anche ad integrazione e modifica del decreto del Presidente della Repubblica 3 maggio 1982, n. 378, e in attuazione della Raccomandazione R (87) 15 del Consiglio d’Europa del 17 settembre 1987, e successive modificazioni. Le modalità sono individuate con particolare riguardo:
a) al principio secondo cui la raccolta dei dati è correlata alla specifica finalità perseguita, in relazione alla prevenzione di un pericolo concreto o alla repressione di reati, in particolare per quanto riguarda i trattamenti effettuati per finalità di analisi;
b) all’aggiornamento periodico dei dati, anche relativi a valutazioni effettuate in base alla legge, alle diverse modalità relative ai dati trattati senza l’ausilio di strumenti elettronici e alle modalità per rendere conoscibili gli aggiornamenti da parte di altri organi e uffici cui i dati sono stati in precedenza comunicati;
c) ai presupposti per effettuare trattamenti per esigenze temporanee o collegati a situazioni particolari, anche ai fini della verifica dei requisiti dei dati ai sensi dell’articolo 11, dell’individuazione delle categorie di interessati e della conservazione separata da altri dati che non richiedono il loro utilizzo;
d) all’individuazione di specifici termini di conservazione dei dati in relazione alla natura dei dati o agli strumenti utilizzati per il loro trattamento, nonché alla tipologia dei procedimenti nell’ambito dei quali essi sono trattati o i provvedimenti sono adottati;
e) alla comunicazione ad altri soggetti, anche all’estero o per l’esercizio di un diritto o di un interesse legittimo, e alla loro diffusione, ove necessaria in conformità alla legge;
f) all’uso di particolari tecniche di elaborazione e di ricerca delle informazioni, anche mediante il ricorso a sistemi di indice.
Come leggiamo, l’art. 57 esclude qualsiasi soggetto pubblico che non sia una forza di polizia e detta anche i principii ai quali il regolamento, di cui al comma 1 del medesimo articolo, deve avere particolare riguardo.
A questo proposito possiamo succintamente dire che il D.P.R. n. 15/2018, adottato in ottemperanza all’art. 57 Codice Privacy, obbliga:
• all’aggiornamento dei dati trattati e alla loro completezza e pertinenza, secondo il principio di proporzionalità di cui all’art. 3 del Codice della Privacy (art. 4);
• alla configurazione dei sistemi e dei programmi informatici che riducano al minimo l’utilizzo dei dati personali, anche evitandolo se le finalità possono essere perseguite in altro modo, e che li cassino automaticamente alla scadenza del periodo di conservazione (art. 5);
• consente il collegamento a banche-dati di amministrazioni pubbliche e private, per acquisire le informazioni necessarie, ma senza duplicazione di archivi e banche-dati (art. 9);
• consente la comunicazione dei dati tra le forze di polizia, per l’esecuzione di compiti istituzionali, fermo restando l’obbligo di segretezza in relazione alle indagini di P.G. svolte (art. 12);
• permette la diffusione delle immagini solo previo consenso del titolare o se essa è necessaria per salvaguardare la vita o l’incolumità altrui o giustificata da necessità di giustizia o di polizia; deve, tuttavia, essere sempre rispettata la dignità della persona (art. 14);
• elenca, all’art. 10, co. 3, i termini di conservazione dei dati, che vanno dai 18 mesi ai 30 anni, diversificandoli in base alle diverse fattispecie descritte. I termini possono essere aumentati, per un periodo non superiore ai 2/3 del periodo iniziale, quando i dati sono trattati per le attività di cui agli artt. 51 e 407 c.p.p. oppure quando lo decida il comandante del reparto, in base alle linee guida indicate dal Capo della Polizia ex art. 4, co. 6, legge 410/1991, indicando i motivi in relazione al caso specifico;
• disciplina lo scambio dei dati con gli Stati membri dell’Unione Europea e con gli organismi dell’U.E., sulla base delle leggi e dei regolamenti nazionali e degli atti normativi dell’U.E. (art. 16);
• regolamenta lo scambio dei dati con gli Stati terzi e con le organizzazioni internazionali sulla base degli accordi di cooperazione di polizia, purché non contrastanti con le normative interne e dell’Unione Europea (art. 17).
Il Capo V del D.P.R. 15/2018 si occupa, specificatamente, della videosorveglianza, ribadendo il divieto di ingerenza ingiustificata nelle libertà fondamentali delle persone (art. 22) e ammettendo l’attività di videosorveglianza per le finalità di polizia giudiziaria, per la difesa dell’ordine, della sicurezza pubblica e dell’incolumità dell’operatore, nonché per le attività espressione di poteri autoritativi (art. 23, co. 1,). Peraltro, l’utilizzo di apparecchiature per riprese video e foto è ammesso, ai fini probatori processuali, dall’ art. 234 c.p.p., comma 1, che così recita: “E’consentita l’acquisizione di scritti o di altri documenti che rappresentano fatti, persone o cose mediante la fotografia, la cinematografia, la fonografia o qualsiasi altro mezzo”.
Il secondo comma dell’art. 23 sopra citato, inoltre, ribadisce l’obbligo di raccogliere solo i dati strettamente necessari, in omaggio al principio di necessità di cui all’art. 11 del Codice della Privacy (principio di minimizzazione nell’imminente Regolamento U.E. n. 2016/679).
All’art. 24, il D.P.R. in parola obbliga alla distinzione di diversi livelli di accesso alle riprese ed alle immagini raccolte, corrispondenti alle mansioni e ai compiti che ciascun operatore svolge.
L’art. 25, invece, prescrive di adottare le misure tecnologiche che assicurino la riservatezza dei dati, ne minimizzino il rischio di distruzione o di accesso abusivo ad essi: in pratica, le misure previste dagli artt. 33, 34 e 35 del Codice della Privacy.
Per completezza d’informazione, va evidenziato che in materia di videosorveglianza, oltre a tenere in considerazione il Codice della Privacy, per la disciplina generale, fondamentale risulta il Provvedimento del Garante della Privacy dell’8 Aprile 2010 (pubblicato sulla G.U. n° 99 del 29.04.2010) denominato “Provvedimento in materia di videosorveglianza”, con cui si introduce un quadro di garanzie relative al trattamento di dati personali derivante dall’uso di strumenti elettronici di rilevamento automatico delle infrazioni al codice stradale, a seguito della Circ. Min. Int. n° 300/A/10307/09/144/5/2013 del 14.08.2009.
Il Provvedimento, basato sulle disposizioni del Codice della Privacy, ne ribadisce alcuni principii, dettando regole pratiche per l’impiego dei rilevatori elettronici, al fine di proteggere i dati personali di quanti vengano fotografati e filmati dalle telecamere.
Come si evidenzia nell’art. 53 del Codice della Privacy, sopra riportato, alle attività di polizia giudiziaria e di tutela dell’ordine e della sicurezza pubblica non si applicano alcuni articoli del Codice suddetto (artt. 9, 10, 12, 13 e 16, da 18 a 22, 37, 38, commi da 1 a 5, e da 39 a 45; da 145 a 151); il motivo è intuitivo: la tutela della riservatezza, sebbene principio fondamentale previsto dall’art. 16 del T.F.U.E. e dall’art. 8 della Carta dei Diritti Fondamentali dell’U.E., nonché dall’art. 14 della Dichiarazione Universale dei Diritti dell’Uomo del 10.12.1948, va contemperata con gli altri diritti fondamentali; la fattispecie disciplinata dall’art. 53, che permette la deroga alla disciplina generale, sacrificando qualche limite a protezione della riservatezza, per l’attività di polizia giudiziaria e di tutela dell’ordine e della sicurezza pubblica, tiene conto -in tutta evidenza- dei fondamentali diritti della collettività e del singolo cittadino ad essere protetti dagli illeciti penali, a vedere amministrata la giustizia e a prevenire e punire tutte le attività che mettano in pericolo la civile ed ordinata convivenza.
Nei casi in cui il trattamento effettuato presenti dei rischi specifici (art. 6 D.P.R. n. 15/2018), come nelle ipotesi di raccolta di dati biometrici o genetici, utilizzo dei “droni” (di cui all’art. 23, co. 3, D.P.R. 15/2018) e altro, lo stesso deve essere sottoposto all’Autorità garante della Privacy per una verifica preliminare, ai sensi dell’art. 17 Codice Privacy (con l’entrata in vigore del Regolamento UE 2016/679 tale verifica verrà disciplinata dall’art. 35 del Reg. UE e denominata “valutazione d’impatto sulla privacy”). Al termine della verifica, il Garante prescriverà misure ed accorgimenti da adottare per limitare al massimo eventuali violazioni.
Per concludere, una piccola chiosa: il presente D.P.R., come recita esso stesso all’art. 1, costituisce attuazione delle prescrizioni dettate dall’art. 57 del Codice della Privacy; tuttavia, nelle motivazioni elencate al Capo I (Disposizioni generali) il regolamento elenca una serie di normative internazionali e dell’Unione Europea, tra le quali citiamo: il Reg. U.E. 2016/679; la Dir. U.E. 2016/680; il Trattato di Prüm; questo induce ad una riflessione, ossia che la cooperazione tra le forze di polizia di diversi Stati e la necessità di avere una disciplina uniforme della tutela della riservatezza, in un contesto ormai sempre più tecnologicamente ed economicamente connesso, sono ormai un trend evidente; il D.P.R. n. 15/2018 non è che una tappa del cammino ed un tassello nel meccanismo di adattamento del nostro ordinamento giuridico agli obblighi assunti sul piano internazionale.
