Lo ha chiarito il Garante per la Protezione dei Dati Personali, con il provvedimento del 20 settembre 2012, pubblicato nella Gazzetta Ufficiale n. 268 del 16 novembre.
L’esigenza di fornire le indicazioni oggetto del provvedimento è sorta a seguito delle modifiche introdotte dell’art. 40, c. 2 del d.l. n. 201/2011, convertito con L. n. 214 del 22 dicembre 2011: come ampiamente noto, tali modifiche hanno escluso, dagli artt. 4, 5, 9 e 43, ogni riferimento a persone giuridiche, enti e associazioni, limitando il campo di applicazione del d.lgs. n. 196/2003, nella parte in cui si riferisce a “interessati” o “dati personali”, alle sole persone fisiche.
Tale riduzione del campo di applicazione ha ricondotto la normativa in tema di trattamento dei dati personali nel solco della tutela apprestata a livello europeo. In effetti, la direttiva n. 95/46/CE, espressamente riferita alle sole persone fisiche, aveva lasciato un ampio margine di manovra agli stati membri in modo che fosse loro rimessa, in sede di recepimento nazionale, la facoltà di prevedere l’estensione della portata applicativa delle norme anche alle persone giuridiche. Il legislatore italiano del 1996, con scelta confermata nel 2003, aveva esercitato tale opzione, incrementando sia adempimenti che garanzie e tutela, in favore delle persone giuridiche. Il decreto legge n. 201/2011, ha invece ribaltato il criterio, riducendo il campo di applicazione del Codice: per dato personale deve oggi intendersi “qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale” e per interessato esclusivamente “la persona fisica cui si riferiscono i dati personali” (cfr., rispettivamente, l’art. 4, comma 1, lett. b) e i) del Codice, nella sua novella formulazione).
A fronte di un simile intervento normativo, occorre, tuttavia, far attenzione a non estenderne la portata oltre la sua effettiva dimensione.
In particolare, evidenzia il Garante, le persone giuridiche continuano ad essere ricomprese nel campo di applicazione del titolo X (“Comunicazioni elettroniche”).
Vengono così superate le difficoltà interpretative nascenti dall’art. 121 del Codice, il quale, nell’individuare l’ambito di applicazione delle regole relative ai servizi di comunicazione elettronica, sembrerebbe prima facie escludere le persone giuridiche, in virtù dell’esplicito riferimento al “trattamento di dati personali”, (espressione, che, secondo la nuova definizione di dato personale recata dall’art. 4, comma 1, lett. b) del Codice, è riferita soltanto alle persone fisiche).
Tuttavia, le rimanenti disposizioni del Capo I del Titolo X, individuano, quali destinatari, i “contraenti”, termine che, proprio a seguito dell’entrata in vigore del d.lgs. n. 69/2012, a far data dal 1° giugno 2012 ha sostituito, nelle disposizioni del Codice, quello di “abbonati”, utilizzato in precedenza.
Il concetto di “abbonato”, e dunque ora di “contraente”, e’ certamente applicabile, tanto alle persone fisiche quanto a quelle giuridiche.
Conforta questo convincimento un ulteriore elemento, tratto dall’analisi del Dossier di documentazione, dell’8 dicembre 2011, predisposto dal Servizio Studi della Camera dei deputati a corredo del menzionato d.l. 201/2011. Vi si chiarisce come, a fronte delle abrogazioni gia’ esaminate e relative agli interessati-persone giuridiche, “non viene invece modificata la definizione di “abbonato” [ora “contraente”], che continua ad essere riferita sia alle persone fisiche che alle persone giuridiche, enti o associazioni (…)”. Questi ultimi soggetti “continueranno pertanto a fruire della tutela prevista dal titolo X del codice della privacy per gli abbonati a servizi di comunicazione elettronica“.
Ad ulteriore conferma di quanto sopra dedotto, può inoltre citarsi la modifica dell’art. 130 apportata dall’ art. 1, comma 7, lett. a), n. 3 del d. lgs. 69/2012, che ha sostituito il termine “interessato”, con quello di “contraente o utente”, armonizzando la disposizione con quelle di cui ai cc. 3-bis, 3-ter e 3-quater, relativi al regime dell’opt-out, correlato all’istituzione del Registro pubblico delle opposizioni.
In conclusione, pertanto, secondo il Garante per la Protezione del dati personali, “le persone giuridiche devono senz’altro essere annoverate, al pari di quelle fisiche, tra i soggetti destinatari delle previsioni di cui al titolo X, capo 1 del Codice, con la sola eccezione dell’art. 132-bis, anch’esso introdotto dal d. lgs. n. 69/2012, che pone a carico dei fornitori di servizi di comunicazione elettronica l’obbligo di istituire apposite procedure “per corrispondere alle richieste effettuate in conformita’ alle disposizioni che prevedono forme di accesso a dati personali degli utenti” (e dunque delle sole persone fisiche).”
Non manca, da ultimo, il Garante, di sottolineare alcune incongruenze del sistema normativo, indotte dal mancato coordinamento tra le disposizioni preesistenti e le modifiche che si sono via via succedute, che richiederebbero un intervento di armonizzazione:
– l’esclusione di persone giuridiche, enti e associazioni dal novero dei soggetti legittimati a proporre segnalazioni, reclami e ricorsi dinanzi all’Autorita’, essendo tale facoltà prevista dall’art. 141 soltanto in favore degli “interessati”.
– l’applicabilità dell’art. 15, relativo ai danni cagionati per effetto del trattamento, ai soli dati personali, cioè, nell’attuale formulazione, alle informazioni relative alle persone fisiche e non anche a quelle giuridiche
– l’estraneità al sistema degli adempimenti e garanzie previste dal codice dell’utilizzo a fini promozionali di dati, relativi a persone giurdiche, reperiti da fonti diverse dagli elenchi telefonici (ad esempio tratti da siti internet o da albi, atti o documenti pubblici etc.), mancando la possibilità di ricondurre il trattamento di tali dati disciplina generale di cui agli artt. 23 e 24 del Codice, testualmente applicabili esclusivamente agli interessati (cioe’, ora, alle persone fisiche)