Ridimensionamento della privacy per la PA: una risposta sbagliata ad un problema concreto.

 Che la normativa sulla protezione della riservatezza dei dati sia farraginosa, frastagliata, oscura, contenuta in fonti diverse, oggetto di pervasive e ormai non più enumerabili linee guida ed interventi del Garante, non v'è alcun dubbio.

Che lo stato della disciplina sia, complessivamente, un insieme incontrollabile di gride manzioniane, tra le quali si districano professionisti ai quali si è aperto il mondo della funzione di DPO, e che tutto rappresenti un costo organizzativo e finanziario molto rilevante per i datori di lavoro, è altrettanto sotto gli occhi di tutti.

Che queste evidenti storture siano causa di lacci e vincoli a significativa parte dell'azione amministrativa è dimostrato: ne sono prova le difficoltà dovute all'incrocio di dati ed informazioni ai fini del contrasto all'evasione fiscale e le assurdità della recente normativa di contrasto alla pandemia.

In questi mesi si è assistito ad un continuo slalomeggiare delle norme tra diktat e pareri del Garante, fino a giungere al paradosso del green pass. Si è ritenuto, in maniera per nulla convincente, che un'informazione concernente la circostanza che una persona sia vaccinata o meno consista in un "dato sanitario". Questa è la base che rende, ora, difficilissimi i controlli sul possesso del green pass, da attuare senza che emerga il titolo del possesso del certificato. Con l'ulteriore paradosso che, però:

1. se la persona mostri il green pass, statisticamente si è certi che al 75% è vaccinata; al 15% è guarita dal Covid; al 10% non è vaccinata ma ha un tampone negativo da meno di 72 ore: quindi, il dato comunque non ha praticamente alcuna riservatezza;
2. se la persona non dispone del green pass, si è sicuramente certi al 100% che non è vaccinata.

Quindi: che tutela effettiva si assicura al "dato sanitario" nelle condizioni di fatto e di diritto esistenti?

Per altro, nella grandissima parte dei casi, i dipendenti no-pass stanno manifestandosi espressamente come tali nei confronti dei datori di lavoro, per chiedere come organizzarsi, dunque nei fatti i datori sanno quasi al 100% chi sono i dipendenti non vaccinati.

L'insieme di queste ipocrisie crea un sistema a sua volta ipocrita, complicatissimo, nel quale l'adempimento formale prevale sulla sostanza. E il Garante della privacy è nei fatti molto impegnato nel continuare ad emanare sanzioni nei confronti della PA, in una singolare girandola di partita di giro di denaro pubblico, che esce ed entra in casse pubbliche.

Tutto questo, ovviamente, è semplicemente privo di concreti senso e utilità e meritava una correzione.

Probabilmente, talmente pesante e pervasiva si è rivelata la disciplina ed il modo di intenderla da parte del Garante e della giurisprudenza, che col "decreto capienze" si è andati anche oltre.

Si introduce la previsione secondo la quale "Il trattamento dei dati personali da parte di un’amministrazione pubblica (...) ivi comprese le Autorità indipendenti e le amministrazioni inserite nell’apposito elenco compilato annualmente dall'ISTAT, nonché da parte di una società a controllo pubblico (...) o di un organismo di diritto pubblico, è sempre consentito se necessario per l'adempimento di un compito svolto nel pubblico interesse o per l'esercizio di pubblici poteri a essa attribuiti. La finalità del trattamento, se non espressamente prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento, è indicata dall’amministrazione, dalla società a controllo pubblico o dall’organismo di diritto pubblico in coerenza al compito svolto o al potere esercitato". Si affida, quindi, non in via esclusiva al Legislatore il compito di individuare in via preventiva, generale ed astratta la finalità del trattamento, bensì alla valutazione discrezionale di ciascun singolo ente, che poi significa di ciascun singolo dirigente o funzionario che tratti una procedura ed i connessi dati. Non solo: si ampliano a dismisura anche le possibilità che gli enti diffondano e scambino dati tra loro.

Ai problemi derivanti da una disciplina della privacy disordinata, pesante, pedante, levantina e complicata, si intende rimediare con forzature.

Sarebbe stato meglio, in passato, smussare gli angoli della pervasività della privacy, scongiurando il rischio, purtroppo concretizzatosi, che si trasformasse in un Moloch. Si sarebbe potuto intervenire normativamente, oggi, per correggere le disfunzioni. Invece, si crea un altro Leviatano della discrezionalità nel trattamento dei dati.