C’e’ una sottile ma sostanziale differenza in materia di ambito di applicabilità fra il testo della direttiva 95/46/EU e il D.lgs. 196/03 che la recepisce.
La direttiva, al considerando n. 15, prevede
… che il trattamento de suddetti dati rientra nella presente direttiva soltanto se è automatizzato o se riguarda dati contenuti, o destinati ad essere contenuti, in un archivio strutturato secondo criteri specifici relativi alle persone, in modo da consentire un facile accesso ai dati personali di cui trattasi.
Ma il comma I dell’art. 4 del D.lgs. 196/03 stabilisce che rientra nella nozione di trattamento:
qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati; (enfasi aggiunta)
Questa aggiunta (anche se non registrati in una banca dati) è palesemente in contrasto con la direttiva sulla protezione dei dati personali visto che ne snatura la finalità e il senso e attribuisce all’Autorità garante per la protezione dei dati personali un potere di controllo anche su situazioni che il legislatore comunitario non intendeva – espressamente – regolare.
A riprova di quanto sopra, sta il fatto che anche nel Regolamento generale sulla protezione dei dati personali, al considerando n. 15, si legge
The protection of natural persons should apply to the processing of personal data by automated means, as well as to manual processing, if the personal data are contained or are intended to be contained in a filing system (enfasi aggiunta)
Da maggio 2018, dunque, la nozione di trattamento tornerà ad essere quella definita dall’Unione Europea e non quella erroneamente interpolata da chi, all’epoca, gestì il recepimento di quelle norme.
Possibly Related Posts:
- L’attacco ai frigoriferi connessi non è colpa di chi lo ha sferrato
- Il caso Siher e la responsabilità per i commenti online: il confine fra illecito e dissenso politico
- Quando i morti digitali risorgono in tribunale e costringono la corte a ordinare una nuova sentenza
- Caso Revolut: l’estorsione funziona anche se i dati della vittima non sono cifrati
- Il caso Revolut e l’inutile cybersecurity di carta