Trasmissione dati tra amministrazioni pubbliche solo nel rispetto della privacy

Un’amministrazione pubblica non può trasmettere i dati a un altro ente senza avere informato preventivamente le persone interessate. Di conseguenza, è contrario al diritto Ue un sistema nazionale che consente all’amministrazione tributaria di inviare le dichiarazioni dei redditi alla cassa nazionale malattia che tratta poi i dati ricevuti. E’ la Corte di giustizia a stabilirlo con la sentenza del 1° ottobre nella causa C-201/14 (C-201:14). A rivolgersi a Lussemburgo, la Corte di appello di Cluj (Romania) alle prese con una controversia tra alcuni lavoratori autonomi e l’Agenzia nazionale per l’amministrazione tributaria. Quest’ultima aveva trasmesso le dichiarazioni dei redditi dei ricorrenti alla Cassa nazionale malattia che aveva imposto il pagamento dei contributi previdenziali arretrati. Una violazione, secondo i contribuenti, della direttiva 95/46 del 24 ottobre 1995, relativa alla protezione delle persone per quanto riguarda il trattamento dei dati personali e la libera circolazione degli stessi (recepita in Italia con il Dlgs n. 196/2003, “Codice della privacy”), perché i dati erano stati trattati dalla Cassa malattia senza il loro consenso preventivo. Prima di risolvere il caso, i giudici rumeni hanno chiamato in aiuto Lussemburgo. E’ evidente – scrivono gli eurogiudici – che i dati fiscali trasmessi dall’amministrazione tributaria alla cassa previdenziale devono essere classificati tra i dati personali inclusi nell’ambito di applicazione della direttiva 95/46 perché si tratta di informazioni “concernenti una persona fisica identificata o identificabile”. Di conseguenza, il responsabile del trattamento dati dell’amministrazione interessata è soggetto a un obbligo di informazione nei confronti della persona coinvolta che deve conoscere l’identità del responsabile del trattamento e le finalità, nonché “ogni altra informazione necessaria per effettuare un trattamento leale dei dati”, e quindi, anche le categorie dei destinatari delle informazioni. Questo vuol dire che ogni amministrazione pubblica è tenuta a informare la persona interessata del trasferimento di dati a altra amministrazione, che poi procederà a trattarli. L’assenza di informazioni specifiche è una violazione della direttiva. Non è sufficiente che la legislazione nazionale preveda che i dati riguardanti la persona che effettua la dichiarazione saranno trasmessi all’ente previdenziale perché nella normativa non è specificata l’inclusione del contenuto delle dichiarazioni dei redditi, facendo invece riferimento unicamente all’identità dell’assicurato. E’ evidente che una simile situazione è contraria alla direttiva perché le persone interessate – osserva la Corte – dovevano essere informate non solo delle finalità di un trattamento ma anche delle categorie dei dati trattati. Gli eurogiudici, poi, escludono la possibilità di applicare l’eccezione prevista dall’articolo 13 della direttiva in base alla quale gli obblighi di informazione possono essere limitati  se “tale restrizione costituisce una misura necessaria alla salvaguardia di un rilevante interesse economico o finanziario di uno Stato membro”. Né è possibile invocare la non applicazione degli obblighi di informazione solo perché l’obbligo di registrazione e di comunicazione era prescritto dalla legge poiché, in ogni caso, lo Stato deve adottare misure appropriate idonee a tutelare gli interessati. Di qui la conclusione che è contraria al diritto Ue una misura nazionale che consente a un’amministrazione pubblica la trasmissione di dati senza informazione alla persona interessata.