Indice
Testo dell'articoloVigente
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all’Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
Vedi anche
→art. 1 CODICE→art. 2 QUINQUIESDECIES→art. 2 TERDECIES→Reg. UE 2016/679 (GDPR) - Disciplina europea sulla protezione dei dati→Cost. art. 14 - Inviolabilità del domicilio→Cost. art. 15 - Libertà e segretezza delle comunicazioni→Art. 2-undecies D.Lgs. 196/2003 – Limitazioni ai diritti dell’interessato→Art. 2-decies D.Lgs. 196/2003 – Inutilizzabilità dei dati→Art. 2-novies D.Lgs. 196/2003 – Disposizioni per il funzionamento della rete pubblica di telecomunicazioni→Art. 2-octies D.Lgs. 196/2003 – Principi relativi al trattamento di dati personali relativi a condanne penali e reati→Art. 2-septies D.Lgs. 196/2003 – Misure di garanzia per il trattamento dei dati genetici, biometrici e relativi alla salute→Art. 2-sexies D.Lgs. 196/2003 – Trattamento di categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all'Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
In sintesi
Indice dei contenuti
L’art. 2-duodecies del Codice in materia di protezione dei dati personali (D.Lgs. 30 giugno 2003, n. 196, come riformato dal D.Lgs. 18 maggio 2018, n. 51) presidia uno dei punti più delicati del trattamento dei dati a fini di polizia e giustizia penale: il loro trasferimento al di fuori del territorio dell’Unione europea. La disposizione si colloca nel corpo di norme con cui il legislatore italiano ha recepito la Direttiva (UE) 2016/680 - la cosiddetta direttiva di polizia - che disciplina il trattamento dei dati da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento dei reati, nonché di esecuzione delle sanzioni penali. Si tratta di un binario parallelo e distinto rispetto al Regolamento generale sulla protezione dei dati (Regolamento UE 2016/679, GDPR), pur condividendone i principi cardine.
La ratio: estendere la tutela oltre i confini dell’Unione
Il principio sottostante è che la protezione accordata all’interessato non può essere vanificata dal semplice spostamento materiale dei dati verso un Paese terzo o un’organizzazione internazionale. La norma persegue la cosiddetta continuità della tutela: il dato, una volta trasferito, deve continuare a godere di un livello di protezione sostanzialmente equivalente a quello garantito dall’ordinamento interno e dal diritto dell’Unione. In assenza di un simile presidio, il trasferimento transfrontaliero diventerebbe la via più agevole per aggirare gli obblighi di legge.
I presupposti del trasferimento
Il trasferimento è ammesso solo se ricorrono congiuntamente alcune condizioni. In primo luogo, esso deve essere necessario per le finalità tipiche del trattamento di polizia (prevenzione e repressione dei reati, esecuzione di sanzioni penali). In secondo luogo, i dati devono essere destinati a un’autorità competente del Paese terzo o a un’organizzazione internazionale. In terzo luogo - ed è il fulcro della disposizione - deve sussistere un adeguato livello di protezione, accertato attraverso una decisione di adeguatezza della Commissione europea oppure, in mancanza, attraverso garanzie appropriate o l’applicazione di specifiche deroghe per situazioni particolari. È inoltre richiesto, di regola, che l’autorità che ha originariamente trasmesso o reso disponibili i dati abbia prestato il proprio consenso al trasferimento ulteriore.
Il consenso dell’autorità di provenienza e i trasferimenti successivi
Un profilo qualificante riguarda i cosiddetti onward transfer: quando i dati, ricevuti da uno Stato membro o da un’autorità estera, vengono ritrasmessi a un ulteriore destinatario. In questi casi la norma impone, salvo eccezioni motivate, di acquisire l’autorizzazione preventiva dell’autorità che li ha forniti. Si evita così che il dato “rimbalzi” verso destinazioni non controllabili, sfuggendo alle condizioni alle quali era stato originariamente comunicato. Il meccanismo riflette il principio di specificazione della finalità: i dati raccolti per uno scopo determinato non possono essere liberamente riutilizzati per scopi incompatibili.
Il ruolo del Garante
La vigilanza sul rispetto delle condizioni è affidata al Garante per la protezione dei dati personali, che opera quale autorità di controllo anche nel settore dei trattamenti di polizia. All’Autorità spetta il compito di verificare la legittimità dei flussi transfrontalieri, di esercitare i poteri correttivi e, ove necessario, di limitare o vietare il trasferimento. La presenza di un’autorità indipendente è elemento essenziale del sistema, in coerenza con l’art. 8 della Carta dei diritti fondamentali dell’Unione europea.
Il coordinamento con il GDPR e con il quadro europeo
Sebbene la disciplina dei trattamenti di polizia sia autonoma rispetto al GDPR, i due regimi condividono l’architettura concettuale dei trasferimenti internazionali: decisioni di adeguatezza, garanzie appropriate, deroghe per situazioni specifiche. La distinzione rileva soprattutto sul piano soggettivo (autorità competenti in materia penale) e funzionale (finalità di sicurezza e giustizia). Per l’interprete è dunque essenziale individuare correttamente la base normativa applicabile, poiché da essa discendono presupposti e garanzie differenti.
Profili pratici e criticità
Nella prassi, la disposizione assume rilievo nei rapporti di cooperazione internazionale di polizia e giudiziaria, negli scambi informativi tra autorità di diversi Stati e nella partecipazione a banche dati internazionali. La principale criticità attiene alla valutazione dell’adeguatezza del livello di protezione del Paese di destinazione, valutazione che richiede un esame in concreto delle garanzie effettivamente offerte. La giurisprudenza europea ha più volte sottolineato che un’adeguatezza meramente formale non è sufficiente: occorre un’equivalenza sostanziale. In definitiva, l’art. 2-duodecies costituisce uno snodo tra l’esigenza di efficace cooperazione nella lotta al crimine e la tutela dei diritti fondamentali della persona.
I trasferimenti in assenza di decisione di adeguatezza
Quando manca una decisione di adeguatezza della Commissione europea relativa al Paese terzo, il trasferimento non è per ciò solo precluso: la disciplina ammette che esso avvenga sulla base di garanzie appropriate, idonee ad assicurare comunque un livello di protezione equivalente. Tali garanzie possono discendere da strumenti giuridicamente vincolanti tra autorità pubbliche oppure da clausole che impongano al destinatario obblighi sostanziali sul trattamento. In via residuale e per situazioni specifiche - ad esempio per proteggere interessi vitali dell’interessato o di terzi, o per prevenire una minaccia grave e immediata alla pubblica sicurezza - sono previste deroghe puntuali, da interpretarsi restrittivamente proprio in quanto eccezioni alla regola generale di tutela.
Documentazione e responsabilizzazione (accountability)
Coerentemente con il principio di responsabilizzazione che pervade l’intero sistema europeo di protezione dei dati, il titolare del trattamento deve essere in grado di dimostrare la sussistenza dei presupposti che legittimano il trasferimento. Ciò implica, sul piano operativo, la tenuta di adeguata documentazione: l’indicazione della base giuridica utilizzata, la verifica del livello di protezione del Paese di destinazione, l’eventuale acquisizione del consenso dell’autorità di provenienza. La tracciabilità delle valutazioni compiute non è un mero adempimento formale, ma la condizione perché l’autorità di controllo possa esercitare in modo effettivo i propri poteri.
Il bilanciamento tra cooperazione e diritti fondamentali
In definitiva l’art. 2-duodecies si pone come punto di equilibrio tra due esigenze potenzialmente contrapposte: da un lato l’efficacia della cooperazione internazionale nel contrasto alla criminalità, che richiede scambi informativi rapidi e affidabili; dall’altro la tutela dei diritti fondamentali della persona, e in particolare del diritto alla protezione dei dati sancito dall’art. 8 della Carta di Nizza. La norma non sacrifica l’una all’altra, ma le compone subordinando il trasferimento a condizioni che ne assicurano la legittimità. È in questa tensione, tipica del diritto della sicurezza nello spazio di libertà, sicurezza e giustizia dell’Unione, che la disposizione trova la sua più profonda ragion d’essere.
Massime di Cassazione
Cass. Corte Cost., sent. n. 271/2005
Perché è importante: Riservatezza come diritto inviolabile
Prassi dell'Agenzia delle Entrate
Disciplina generale
Hub del Garante per la protezione dei dati personali: disciplina del D.Lgs. 196/2003 coordinato con il GDPR.
Casi pratici
Caso 1: scambio informativo con autorità estera
Tizio, ufficiale di un’autorità competente, deve trasmettere a un’autorità di polizia di un Paese terzo i dati relativi a un’indagine transnazionale. Prima di procedere verifica che ricorra una decisione di adeguatezza o, in mancanza, garanzie appropriate, e che il trasferimento sia necessario alle finalità investigative. In difetto di tali presupposti il flusso non può essere autorizzato.
Caso 2: richiesta di ritrasmissione dei dati
Caio riceve da un’autorità di un altro Stato membro alcuni dati e, successivamente, un’organizzazione internazionale ne chiede la condivisione. Trattandosi di onward transfer, Caio deve acquisire il consenso dell’autorità che ha originariamente fornito i dati, salvo le eccezioni di legge, per evitare un utilizzo incompatibile con la finalità iniziale.
Domande frequenti
A quali trattamenti si applica l’art. 2-duodecies?
Ai trattamenti effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento dei reati o di esecuzione di sanzioni penali, in attuazione della Direttiva (UE) 2016/680, distinta dal GDPR.
Quando è possibile trasferire i dati verso un Paese terzo?
Quando il trasferimento è necessario per le finalità di legge, il destinatario è un’autorità competente o un’organizzazione internazionale e sussiste un adeguato livello di protezione, accertato tramite decisione di adeguatezza, garanzie appropriate o deroghe specifiche.
Cosa si intende per trasferimento successivo (onward transfer)?
È la ritrasmissione dei dati a un ulteriore destinatario dopo la prima comunicazione. Di regola richiede l’autorizzazione dell’autorità che ha fornito i dati, a tutela della finalità originaria.
Che ruolo ha il Garante?
Il Garante per la protezione dei dati personali vigila sul rispetto delle condizioni, esercita poteri correttivi e può limitare o vietare i trasferimenti non conformi.
Qual è la differenza rispetto al GDPR?
Il GDPR disciplina i trattamenti in generale; l’art. 2-duodecies riguarda i trattamenti di polizia e giustizia penale, con presupposti e garanzie propri pur ispirati agli stessi principi sui trasferimenti internazionali.