Art. 2 D.Lgs. 196/2003 — Ambito di applicazione

Commento

L'ambito di applicazione del Codice riformato

L'art. 2 del Codice Privacy, come riscritto dal D.Lgs. 101/2018, delimita l'ambito di applicazione delle disposizioni nazionali in materia di protezione dei dati personali. Il legislatore ha scelto un approccio minimale: anziché ripetere i criteri già fissati dal GDPR, il Codice rinvia integralmente all'art. 2 (ambito materiale) e all'art. 3 (ambito territoriale) del regolamento europeo. La norma italiana svolge dunque una funzione di raccordo, segnando il perimetro entro cui operano le disposizioni integrative dei successivi articoli 2-bis e seguenti.

L'ambito materiale: il trattamento di dati personali

Sotto il profilo materiale, il Codice si applica a ogni trattamento di dati personali, in tutto o in parte automatizzato, oltre che al trattamento non automatizzato di dati contenuti in archivi. Restano fuori dall'ambito i trattamenti svolti da una persona fisica per finalità esclusivamente personali o domestiche (rubrica privata, foto di famiglia), quelli per pubblica sicurezza, difesa nazionale e sicurezza dello Stato, e quelli operati dalle autorità competenti a fini di prevenzione e repressione dei reati. Per questi ultimi opera la disciplina parallela della Direttiva (UE) 2016/680, recepita in Italia con il D.Lgs. 51/2018.

L'ambito territoriale: stabilimento e targeting

Sotto il profilo territoriale il Codice si applica anzitutto ai trattamenti effettuati nell'ambito delle attività di uno stabilimento di un titolare o di un responsabile situato in Italia, indipendentemente dal luogo fisico del trattamento. Si applica inoltre, in coerenza con l'art. 3, par. 2, GDPR, a titolari extra-UE che offrono beni o servizi a interessati nell'Unione (criterio del targeting), o ne monitorano il comportamento all'interno del territorio UE. È il criterio che ha portato alla soggezione al GDPR di colossi tecnologici come Meta, Google, Amazon e Microsoft pur non avendo sede legale nell'UE.

L'applicazione uniforme a settore pubblico e privato

Una caratteristica del Codice italiano, mantenuta dopo la riforma 2018, è l'applicazione uniforme a settore pubblico e privato. A differenza di alcuni ordinamenti europei (per esempio quello tedesco) che hanno discipline parzialmente differenziate, in Italia il GDPR e il Codice operano allo stesso modo per imprese, professionisti, enti pubblici, pubbliche amministrazioni, ASL, ospedali, scuole, università. Le differenze emergono solo nei singoli articoli sostanziali, in particolare nell'art. 2-ter che specifica le basi giuridiche del trattamento da parte di soggetti pubblici.

Le materie speciali e le fonti settoriali

Il Codice non esaurisce la disciplina della protezione dei dati. Operano in parallelo: la Direttiva ePrivacy 2002/58/CE, recepita negli artt. 121 ss. del Codice, per cookie, marketing diretto, dati di traffico, comunicazioni indesiderate; lo Statuto dei lavoratori (L. 300/1970, in particolare l'art. 4) per i controlli a distanza, richiamato dall'art. 114 del Codice; il Codice dell'Amministrazione Digitale (D.Lgs. 82/2005) per i trattamenti delle PA; la disciplina settoriale fiscale, sanitaria, scolastica.

Il rapporto con il D.Lgs. 51/2018

Restano esclusi dall'ambito del Codice i trattamenti per finalità di polizia giudiziaria, prevenzione e repressione dei reati, esecuzione delle pene. Questi sono disciplinati dal D.Lgs. 18 maggio 2018, n. 51, che ha recepito la Direttiva (UE) 2016/680. Tuttavia, l'art. 2 del Codice mantiene un raccordo: gli articoli 53 ss. del Codice integrano la disciplina speciale per i trattamenti delle forze di polizia e i sistemi di indagine. La sovrapposizione richiede particolare attenzione operativa in caso di trattamenti misti (per esempio, dati raccolti per finalità amministrative e poi utilizzati anche a fini di polizia).

Casistica applicativa: trattamenti misti e dubbi interpretativi

L'applicazione concreta dell'art. 2 solleva spesso questioni di confine: a) trattamenti misti (dati raccolti per finalità amministrative e poi usati per finalità di polizia): occorre verificare l'ambito di applicazione del GDPR/Codice o del D.Lgs. 51/2018; b) trattamenti transfrontalieri (es. azienda italiana che usa server in USA): si combinano art. 2 (ambito italiano) con art. 44-49 GDPR (trasferimenti extra-UE post-Schrems II); c) ambito domestico esteso (per esempio, un'associazione sportiva amatoriale): la giurisprudenza CGUE (sent. Lindqvist C-101/01) ha ricondotto nell'ambito GDPR la pubblicazione su internet anche per finalità apparentemente private; d) servizi B2B (CRM aziendale): si applica il GDPR alle persone fisiche di contatto del cliente. Il Garante interviene con linee guida settoriali per chiarire i confini.

La tutela uniforme: PA e privati allo stesso livello di compliance

Una caratteristica distintiva del sistema italiano è l'applicazione uniforme del GDPR a settore pubblico e privato. Ne deriva che: a) le sanzioni dell'art. 83 GDPR si applicano alle PA, sia pure con i limiti consentiti dall'art. 83, par. 7, GDPR; b) le PA devono nominare DPO obbligatorio (art. 37, par. 1, lett. a, GDPR); c) le PA devono effettuare DPIA per i trattamenti ad alto rischio; d) le PA devono notificare data breach al Garante e agli interessati. I provvedimenti sanzionatori del Garante a Regione Lazio (2022), Comune di Milano (2023), ASL di Padova (2024) confermano l'applicazione rigorosa. Il bilanciamento tra esigenze pubbliche (trasparenza, sicurezza) e privacy è risolto in concreto con il principio di proporzionalità: tutto può essere trattato, ma solo nella misura strettamente necessaria.