Indice
Testo dell'articoloVigente
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all’Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
Vedi anche
→art. 1 CODICE→art. 2 DUODECIES→art. 2 TERDECIES→art. 2 QUATERDECIES→Reg. UE 2016/679 (GDPR) - Disciplina europea sulla protezione dei dati→Cost. art. 14 - Inviolabilità del domicilio→Cost. art. 15 - Libertà e segretezza delle comunicazioni→Art. 2-quinquies D.Lgs. 196/2003 – Consenso del minore in relazione ai servizi della società dell’informazione→Art. 2-sexies D.Lgs. 196/2003 – Trattamento di categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante→Art. 2-quater D.Lgs. 196/2003 – Regole deontologiche relative a trattamenti di dati personali→Art. 2-ter D.Lgs. 196/2003 – Base giuridica per il trattamento di dati personali effettuato per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri→Art. 2-septies D.Lgs. 196/2003 – Misure di garanzia per il trattamento dei dati genetici, biometrici e relativi alla salute
Informazione giuridica di carattere generale. Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all'Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
In sintesi
Indice dei contenuti
L'art. 2-quinquiesdecies del Codice in materia di protezione dei dati personali (D.Lgs. 30 giugno 2003, n. 196, come riscritto dal D.Lgs. 101/2018 di adeguamento al Regolamento UE 2016/679) introduce un presidio specifico per i trattamenti pubblici che, in ragione della loro natura, del loro oggetto o del loro contesto, presentano un rischio elevato per i diritti e le libertà degli interessati. La disposizione si colloca nel punto di intersezione tra la disciplina europea direttamente applicabile e gli spazi di intervento che il GDPR lascia al diritto nazionale: una norma di raccordo che assegna al Garante per la protezione dei dati personali un ruolo attivo di conformazione preventiva del trattamento, anziché di mero controllo successivo.
La ratio: governare ex ante il rischio elevato nei compiti di interesse pubblico
La logica della norma è quella di anticipare la tutela. Quando un trattamento è funzionale all'esecuzione di un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri (si pensi all'attività sanitaria, fiscale, previdenziale, di sicurezza o di ricerca su larga scala), il legislatore non si accontenta delle basi di liceità ordinarie. Riconosce che la posizione di soggezione dell'interessato rispetto al potere pubblico, unita alla potenziale gravità delle conseguenze in caso di violazione, giustifica un livello di garanzia rafforzato. Da qui la previsione di misure ulteriori, calibrate sul rischio concreto, che il titolare pubblico deve osservare in aggiunta agli obblighi generali di liceità, correttezza e minimizzazione.
Il ruolo del Garante e i provvedimenti generali
Il cuore operativo della disposizione è l'attribuzione al Garante del compito di individuare, con provvedimenti di carattere generale, le misure di garanzia. Si tratta di una potestà regolatoria che produce regole tendenzialmente uniformi per categorie omogenee di trattamenti, evitando che ciascuna amministrazione definisca in modo disomogeneo le proprie cautele. Tali provvedimenti possono prescrivere misure tecniche e organizzative specifiche - pseudonimizzazione, cifratura, controlli di accesso, tracciamento delle operazioni, limiti di conservazione - e, nei casi più delicati, condizionare lo stesso svolgimento del trattamento al rispetto di presupposti ulteriori. La norma, in altri termini, consente al Garante di alzare l'asticella oltre il minimo regolamentare quando il rischio lo richiede.
Il coordinamento con DPIA e consultazione preventiva
L'articolo non vive isolato ma si innesta sul meccanismo di gestione del rischio disegnato dagli artt. 35 e 36 del GDPR. Il trattamento ad alto rischio impone in via generale una valutazione d'impatto sulla protezione dei dati (DPIA), che documenta finalità, necessità, proporzionalità e misure di mitigazione. Se il rischio residuo resta elevato nonostante le misure adottate, scatta la consultazione preventiva dell'autorità di controllo. L'art. 2-quinquiesdecies arricchisce questa architettura sul versante interno: le misure di garanzia individuate dal Garante diventano un parametro di riferimento di cui la DPIA deve tenere conto, riducendo l'incertezza per il titolare pubblico circa il livello di protezione atteso.
Rapporto con le basi giuridiche del trattamento pubblico
Va ricordato che il trattamento svolto per l'esecuzione di un compito di interesse pubblico trova fondamento, sul piano della liceità, nell'art. 6, par. 1, lett. e) del GDPR, integrato dal diritto nazionale, e - per le categorie particolari di dati - nell'art. 9, par. 2, lettere riferite a finalità pubbliche e sanitarie. L'art. 2-quinquiesdecies non sostituisce queste basi: presuppone che il trattamento sia già astrattamente lecito e vi sovrappone un livello di garanzia ulteriore. La base giuridica risponde alla domanda se il trattamento sia consentito; le misure di garanzia rispondono alla domanda a quali condizioni e con quali cautele esso possa concretamente svolgersi.
Profili applicativi e responsabilità del titolare pubblico
Sul piano pratico, l'amministrazione titolare è chiamata a una verifica di conformità a doppio binario: rispetto delle regole generali del GDPR e del Codice, da un lato, e osservanza puntuale delle misure di garanzia eventualmente prescritte dal Garante per quel tipo di trattamento, dall'altro. L'inosservanza di queste ultime non è priva di conseguenze: incide sulla liceità complessiva del trattamento e può fondare l'esercizio dei poteri correttivi e sanzionatori del Garante, oltre a rilevare ai fini della responsabilità per i danni eventualmente cagionati agli interessati. È quindi essenziale che il responsabile della protezione dei dati (DPO) e gli uffici competenti monitorino costantemente i provvedimenti generali adottati dall'Autorità.
Una norma di chiusura del sistema
In definitiva, l'art. 2-quinquiesdecies assolve una funzione di chiusura: garantisce che, anche dentro lo spazio di autonomia lasciato dal Regolamento al diritto interno, i trattamenti pubblici ad alto rischio non restino sprovvisti di regole tecniche uniformi e aggiornabili nel tempo. È una disposizione che valorizza la flessibilità regolatoria del Garante come strumento per adeguare le tutele all'evoluzione tecnologica, mantenendo al centro la protezione effettiva - e non solo formale - dei diritti delle persone fisiche.
Misure di garanzia e principio di accountability
La disposizione va letta anche alla luce del principio di responsabilizzazione (accountability) che permea l'intero impianto del GDPR. Le misure di garanzia individuate dal Garante non esauriscono gli obblighi del titolare pubblico, ma ne costituiscono il livello minimo qualificato: l'amministrazione resta tenuta a dimostrare, in concreto, di aver adottato misure tecniche e organizzative adeguate al rischio specifico del proprio trattamento. Ciò significa documentare le scelte compiute, aggiornarle al mutare del contesto tecnologico e del quadro delle minacce, e renderle verificabili in sede di controllo. In questa prospettiva, l'art. 2-quinquiesdecies opera come una cerniera tra la regolazione generale dell'Autorità e la responsabilità diffusa dei singoli titolari, che restano i primi garanti della protezione effettiva dei dati trattati nell'interesse della collettività.
Una tutela dinamica e tecnologicamente neutra
Un ultimo profilo merita attenzione: la scelta di affidare a provvedimenti generali del Garante, anziché a norme di rango primario, la definizione delle cautele consente un adeguamento dinamico delle tutele. Le misure possono essere riviste e aggiornate senza necessità di intervento legislativo, seguendo l'evoluzione delle tecniche di trattamento, di anonimizzazione e di attacco informatico. Si tratta di una soluzione coerente con il carattere tecnologicamente neutro della disciplina europea, che preferisce fissare obiettivi di protezione piuttosto che imporre soluzioni tecniche rigide destinate a divenire rapidamente obsolete.
Massime giurisprudenziali
Corte Cost., sent. n. 271/2005
Perché è importante: Riservatezza come diritto inviolabile
Prassi e linee guida
Disciplina generale
Hub del Garante per la protezione dei dati personali: disciplina del D.Lgs. 196/2003 coordinato con il GDPR.
Casi pratici
Caso 1: piattaforma sanitaria regionale
Una Regione attiva una piattaforma per la gestione integrata dei dati sanitari dei residenti, con profilazione per finalità di programmazione. Trattandosi di dati relativi alla salute su larga scala, il trattamento presenta rischio elevato: Tizio, responsabile del progetto, deve svolgere una DPIA e verificare le misure di garanzia generali eventualmente prescritte dal Garante per i trattamenti sanitari pubblici, adottando pseudonimizzazione, limiti di accesso e tracciamento delle operazioni prima dell'avvio.
Caso 2: incrocio di banche dati per controlli fiscali
Un ente pubblico intende incrociare più banche dati per individuare posizioni a rischio di evasione. Caio, DPO dell'ente, rileva che l'operazione, per natura e dimensione, rientra tra i trattamenti ad alto rischio nell'esercizio di pubblici poteri: occorre quindi applicare le misure di garanzia individuate dall'Autorità e, se il rischio residuo resta elevato nonostante le cautele, attivare la consultazione preventiva del Garante ai sensi dell'art. 36 GDPR.
Domande frequenti
A quali trattamenti si applica l'art. 2-quinquiesdecies del Codice privacy?
Ai trattamenti che presentano un rischio elevato per i diritti e le libertà degli interessati e che sono svolti per l'esecuzione di un compito di interesse pubblico, ad esempio in ambito sanitario, fiscale, previdenziale o di sicurezza.
Chi stabilisce le misure di garanzia?
Il Garante per la protezione dei dati personali, che le individua con provvedimenti di carattere generale, definendo cautele tecniche e organizzative e, nei casi più delicati, presupposti ulteriori per lo svolgimento del trattamento.
Che rapporto c'è con la valutazione d'impatto (DPIA)?
La norma si coordina con gli artt. 35 e 36 del GDPR: la DPIA resta obbligatoria per i trattamenti ad alto rischio e deve tenere conto delle misure di garanzia individuate dal Garante; se il rischio residuo resta elevato è prevista la consultazione preventiva dell'Autorità.
Le misure del Garante sostituiscono la base giuridica del trattamento?
No. Il trattamento deve già essere lecito in base all'art. 6, par. 1, lett. e) GDPR (e all'art. 9 per le categorie particolari). Le misure di garanzia si aggiungono come livello di protezione ulteriore, definendo le condizioni e le cautele dello svolgimento.
Cosa rischia l'amministrazione che non rispetta le misure di garanzia?
L'inosservanza incide sulla liceità del trattamento e può attivare i poteri correttivi e sanzionatori del Garante, oltre a rilevare ai fini della responsabilità per i danni eventualmente cagionati agli interessati.