In sintesi
- L'art. 2-undecies disciplina le limitazioni all'esercizio dei diritti dell'interessato (artt. 15-22 GDPR) per finalità di interesse pubblico.
- Le limitazioni si applicano in materia di: antiriciclaggio, fiscale, investigazioni difensive, sicurezza pubblica, protezione delle vittime.
- Sono attuazione dell'art. 23 GDPR che consente agli Stati membri di limitare i diritti per ragioni di sicurezza, prevenzione reati, indipendenza giudiziaria, ecc.
- Le limitazioni operano per il tempo strettamente necessario al raggiungimento della finalità.
- L'interessato può comunque rivolgersi al Garante che esercita i diritti per suo conto (comma 3).
- La giurisprudenza richiede sempre un test di proporzionalità.
Testo dell'articoloVigente
1. I diritti di cui agli articoli da 15 a 22 del Regolamento non possono essere esercitati con richiesta al titolare del trattamento ovvero con reclamo ai sensi dell’articolo 77 del Regolamento qualora dall’esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto a determinati interessi pubblici tassativamente elencati (sicurezza, ordine pubblico, difesa, ecc.).
Informazione giuridica di carattere generale — Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all'Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
Commento
Il quadro normativo: art. 23 GDPR e art. 2-undecies
L'art. 2-undecies del Codice Privacy, introdotto dal D.Lgs. 101/2018, costituisce l'attuazione dell'art. 23 GDPR che consente agli Stati membri di limitare con misura legislativa la portata dei diritti dell'interessato (artt. 12-22 GDPR) quando ciò sia necessario e proporzionato a tutelare interessi pubblici qualificati: sicurezza nazionale, difesa, prevenzione e repressione dei reati, indipendenza giudiziaria, protezione dell'interessato o di terzi. Il legislatore italiano ha tracciato una mappa dettagliata di tali limitazioni in più ambiti settoriali.
L'elenco delle materie soggette a limitazione
L'art. 2-undecies, comma 1, individua le materie in cui operano limitazioni: a) ai sensi delle disposizioni in materia di antiriciclaggio (D.Lgs. 231/2007); b) in materia di sostegno alle vittime di richieste estorsive (L. 44/1999); c) attività delle commissioni parlamentari di inchiesta; d) attività della Banca d'Italia, Consob, IVASS, AGCM, Antitrust; e) tutela della libertà di stampa; f) controllo del fondo di garanzia per le vittime della strada; g) accertamenti tributari; h) investigazioni difensive; i) ispezioni del Ministero del Lavoro e dell'Ispettorato Nazionale del Lavoro.
Le finalità di interesse pubblico tutelate
Le limitazioni servono a tutelare interessi pubblici qualificati: integrità delle indagini penali e giudiziarie, efficacia delle ispezioni amministrative, protezione delle vittime di reato, indipendenza delle autorità di vigilanza, regolare svolgimento di accertamenti tributari e antifrode. L'interesse pubblico è bilanciato con i diritti dell'interessato attraverso il principio di proporzionalità: la limitazione deve essere necessaria, proporzionata e temporalmente delimitata.
La tutela mediata del Garante (comma 3)
Il comma 3 prevede una garanzia compensativa importante: quando l'esercizio dei diritti è limitato, l'interessato può rivolgersi al Garante che esercita i diritti per suo conto. Si tratta di un meccanismo di tutela indiretta che permette di verificare la legittimità della limitazione senza pregiudicare la finalità sottesa. Il Garante valuta, ad esempio, se l'oscuramento di un dato in un procedimento ispettivo sia effettivamente necessario o se sia possibile fornirne almeno una versione anonimizzata.
Durata e cessazione della limitazione
Le limitazioni operano per il tempo strettamente necessario al raggiungimento della finalità. Una volta cessata la ragione (per esempio, concluso il procedimento penale, completate le ispezioni, chiuse le indagini), i diritti dell'interessato riprendono pieno vigore. Il titolare deve documentare in modo trasparente la durata della limitazione e renderne ragione, se richiesto, al Garante e al giudice.
Il sindacato del giudice e della Corte di giustizia
Le limitazioni dell'art. 2-undecies sono soggette al sindacato di proporzionalità del giudice nazionale e della Corte di Giustizia UE. La CGUE (per esempio sent. La Quadrature du Net, C-511/18) ha più volte ribadito che le limitazioni ai diritti GDPR devono essere strettamente proporzionate e non possono comportare un'eliminazione sostanziale del diritto. Il provvedimento del Garante che valuta una limitazione è impugnabile davanti al Tribunale civile ex art. 152 del Codice.
Casistica: SOS antiriciclaggio, indagini, ispezioni
L'art. 2-undecies si applica in casi pratici tipici: a) SOS antiriciclaggio (D.Lgs. 231/2007): il cliente non può sapere della segnalazione, anche se esercita il diritto d'accesso (limitato); b) indagini preliminari penali: l'indagato non ha accesso al fascicolo prima della chiusura indagini ex art. 415-bis c.p.p.; c) ispezioni del lavoro (INL): le evidenze raccolte sono coperte dal segreto investigativo fino alla contestazione; d) accertamenti tributari (AdE): i dati raccolti per il controllo sono protetti durante l'istruttoria; e) attività di vigilanza Banca d'Italia, Consob, IVASS: documenti istruttori non accessibili agli interessati durante la procedura.
Il ruolo del Garante come tutore mediato
Il comma 3 dell'art. 2-undecies introduce una tutela compensativa: quando i diritti sono limitati, l'interessato può chiedere al Garante di esercitarli per suo conto. Il Garante può: a) verificare se la limitazione è effettivamente necessaria; b) ottenere informazioni in forma riservata; c) chiedere conferma che i dati sono trattati lecitamente; d) intervenire presso il titolare se ravvisa abusi. È un meccanismo unico nel panorama UE, che bilancia l'esigenza di segretezza degli interessi pubblici con la tutela individuale. La prassi del Garante ha sviluppato linee guida specifiche per il funzionamento di questo strumento.
Prassi e linee guida
Garante per la protezione dei dati personali
Garante per la protezione dei dati personali
Leggi il documento su www.garanteprivacy.itDomande frequenti
Quando i diritti dell'interessato sono limitati?
Nelle materie elencate dall'art. 2-undecies: antiriciclaggio, ispezioni del lavoro, accertamenti tributari, investigazioni difensive, attività di vigilanza di Banca d'Italia/Consob/IVASS, protezione delle vittime di reato. Sempre in attuazione dell'art. 23 GDPR.
Cosa può fare l'interessato se i suoi diritti sono limitati?
Può rivolgersi al Garante che esercita i diritti per suo conto (art. 2-undecies, comma 3). È una tutela mediata che permette di verificare la legittimità della limitazione.
Le limitazioni durano per sempre?
No. Operano per il tempo strettamente necessario al raggiungimento della finalità (chiusura indagini, fine ispezione, archiviazione SOS). Una volta cessata la ragione, i diritti dell'interessato riprendono pieno vigore.
Una banca deve informare il cliente di una SOS antiriciclaggio?
No, e anzi è espressamente vietato (tipping off). La limitazione dell'art. 2-undecies si combina con il divieto del D.Lgs. 231/2007. Eventuali curiosità dell'interessato sono filtrate dal Garante.
Posso impugnare una limitazione che ritengo eccessiva?
Sì, davanti al Garante con reclamo (art. 77 GDPR) e poi davanti al Tribunale civile ex art. 152 del Codice. La giurisprudenza CGUE garantisce uno scrutinio stringente di proporzionalità.
Vedi anche