analisi

L’obbligatorietà del registro dei trattamenti solleva polemiche

di Rosario Imperiali


default onloading pic
(md3d - stock.adobe.com)

3' di lettura

L'uscita di un articolo sul tema, a firma di chi scrive, seguita dalla descrizione di Antonello Cherchi delle linee guida del Garante sul registro dei trattamenti, su taluni profili non in linea col precedente, ha sollevato polemiche – specie sui social –anche dirette verso questa testata come se essa fosse colpevole di aver divulgato fake news. Questo induce a tentare di fare chiarezza. Il diritto – perché questo è il contesto in cui ci si muove – “vive” dell'interpretazione normativa: la norma è concepita come un precetto generale ed astratto, per essere inclusivo e flessibile, che va poi calato nelle innumerevoli variabili della realtà quotidiana, questo processo di adattamento è affidato proprio all'ermeneutica giuridica (i cui criteri sono regolati dall'articolo 12 delle preleggi).

Interpreti possono essere distinte categorie di soggetti: dallo stesso legislatore (unico caso in cui l'interpretazione è legge, detta “autentica”) sino agli studiosi del settore (detta “dottrinale”), passando per gli interventi interpretativi di autorità preposte (come il Comitato europeo ed il Garante) e, in caso di contenzioso, per quella dei giudici (“giurisprudenziale”).

Le fonti possono essere più o meno autorevoli ma non mutano la natura dell'esternazione che è, e rimane, interpretativa e, quindi, non necessariamente univoca. Quindi, l'interpretazione è cosa diversa da una notizia, ed una interpretazione difforme non è una fake news. Fatta questa premessa, elementare ma necessaria, passiamo al merito della questione che verte sulla individuazione della soglia di obbligatorietà del registro dei trattamenti. Anche qui occorre una premessa: stabilire quando il legislatore ritenga che il registro sia obbligatorio è cosa ben diversa dall'opportunità di realizzare comunque il registro (asserzione del tutto condivisibile): la prima valutazione, se errata, è foriera di gravi conseguenze sanzionatorie.

La norma che prescrive l'obbligatorietà del registro (art. 30) non è tra quelle meglio riuscite, la formulazione è strutturata su tre livelli:
(a) il precetto (obbligo)
(b) la deroga
(c) le eccezioni alla deroga, una sorta di scatole cinesi laddove le eccezioni influiscono sulla deroga e quest'ultima sull'obbligo (è bene ricordare che le eccezioni non erano presenti nell'originaria proposta della Commissione e sono il frutto del negoziato del trilogo).

Le eccezioni sono 4:
presenza di rischio,
non occasionalità del trattamento,
presenza di dati sensibili
o giudiziari;
esse sono alternative, nel senso che è sufficiente la presenza di una per far venir meno la deroga. Quest'ultima sussiste quando il titolare del trattamento ha meno di 250 dipendenti.

Affinchè la costruzione del precetto normativo possa avere senso comune (condizione congenita a qualunque norma) occorre che tra deroga e sua eccezione vi sia un legame di compatibilità, nel senso che l'eccezione deve poter coesistere con la deroga, in tal caso vanificandola: diversamente, in caso di incompatibilità, l'eccezione escluderebbe a priori la deroga, privandola di senso.

A ben vedere, è proprio questo quello che risulterebbe dall'interpretazione letterale, in quanto il trattamento dei dati personali di oltre un paio di centinaia di dipendenti (la deroga), di certo, non può ritenersi occasionale (eccezione), né può considerarsi privo di dati sensibili (si pensi ad assenze per malattie e appartenenza a sindacati) e, per lo più, anche di dati giudiziari (specie in fase assuntiva), ulteriori eccezioni. Per dare senso alla prescrizione, potrebbe allora venire in soccorso la quarta eccezione (il rischio) che presenta sufficienti margini di flessibilità, se lo si utilizzasse anche come criterio interpretativo. Argomentando su questa linea, si potrebbe sostenere che le eccezioni non vadano riscontrate nel trattamento “tipico” della gestione dei dati dei dipendenti (cioè nella deroga) ma in tutto ciò che è al di fuori di tale trattamento.

Nel senso che se trattamenti di dati personali per finalità ulteriori a quella della gestione del personale (sino a 250 dipendenti) presentino una delle 4 eccezioni, allora la deroga verrebbe meno e l'obbligo persisterebbe; di converso, l'obbligo non scatterebbe nonostante il trattamento di dati personali di sino a 250 dipendenti, eccetto che esso risulti non funzionale ed accessorio all'attività dell'impresa. Per questi motivi l'autorevole interpretazione del Garante e, in parte, del Comitato europeo, secondo cui la presenza anche di un solo dipendente fa scattare l'obbligo del registro, sommessamente, non convince.

loading...

Loading...

Newsletter

Notizie e approfondimenti sugli avvenimenti politici, economici e finanziari.

Iscriviti
Loading...