Memoria del Presidente del Garante per la protezione dei dati personali, Pasquale Stanzione - Disegno di legge s 1737, recante “delega al governo per il recepimento delle direttive europee e l'attuazione di altri atti dell'unione europea - legge di delegazione europea 2025”

Senato della Repubblica - 4a Commissione
(23 gennaio 2026)

Ringrazio la Commissione per aver inteso acquisire, nell’ambito dell’istruttoria legislativa, anche la prospettiva della protezione dei dati, lambita da varie norme presenti del disegno di legge. In quanto materia trasversale ai vari settori dell’ordinamento, la protezione dei dati è, infatti, sempre più spesso coinvolta da normative intersettoriali, quale strutturalmente è la legge di delegazione europea. Anche per questo il Regolamento (UE) 2016/679 (GDPR), innovando rispetto alla disciplina previgente, ha previsto come obbligatoria l’acquisizione del parere (pur non vincolante) del Garante sulla normativa primaria, nella consapevolezza della sempre più frequente interrelazione della protezione dei dati con ogni altra materia suscettibile di riforma.

Se, dunque, varie norme del disegno di legge incidono, in diversa misura, sulla protezione dei dati, quella di maggiore rilievo è, indubbiamente, la delega legislativa di cui all’art. 5, per l'adeguamento della normativa nazionale di recepimento della direttiva (UE) 2016/680 (ovvero il d.lgs. 51 del 2018) e il codice di rito penale, ai principi enunciati nella sentenza C-548/218/21 della Corte di Giustizia dell'Unione Europea, riguardo all’art. 10 della direttiva stessa. Essa (e, conseguentemente, l’oggetto della delega legislativa) concerne l’accesso ai (e l’acquisizione dei) dati contenuti in dispositivi, sistemi informatici o telematici o memorie digitali, a fini di prevenzione, indagine, accertamento e perseguimento di reati.

In tale pronuncia la Corte, muovendo dal principio di minimizzazione dei dati trattati – quale specifica declinazione del canone di proporzionalità- e di necessarietà della misura – ammissibile solo laddove l’obiettivo di interesse generale perseguito non sia ragionevolmente conseguibile in modo altrettanto efficace con altri mezzi, meno pregiudizievoli per i diritti fondamentali degli interessati – delinea i presupposti di legittimità di questo strumento investigativo.

La sentenza chiarisce, infatti, come la legittimità della misura dipenda da una valutazione di proporzionalità tra le esigenze investigative e l’incidenza sui diritti dell’interessato, da condurre sulla base dei seguenti parametri: la gravità dell’incidenza (a sua volta dipendente dalla natura e dal carattere “sensibile” dei dati ai quali si accede), la rilevanza del fine di interesse generale perseguito, il nesso tra il proprietario del dispositivo (in quel caso era un telefono cellulare) e il reato per cui si procede, nonché la pertinenza dei dati cui accedere rispetto ai fatti da accertare.

La Corte richiama l’importanza della riserva di legge, dovendo il legislatore interno definire in modo sufficientemente preciso gli elementi- in particolare la natura o le categorie dei reati -il cui perseguimento legittimi l’adozione di misure particolarmente limitative dei diritti fondamentali. Inoltre, la pronuncia richiama l’esigenza di subordinare al previo vaglio del giudice o di un organo amministrativo indipendente l’accesso a dati che possa comportare una grave lesione dei diritti fondamentali dell’interessato. Inoltre, la pronuncia chiede di introdurre l’obbligo, a carico dell’autorità preposta, di informare l’interessato in ordine alle ragioni sulle quali si fonda l’autorizzazione ad accedere a tali dati, salvi i casi in cui tale informazione possa pregiudicare le indagini.

Tale ultimo aspetto non sembra espressamente riflesso nei criteri direttivi per l’esercizio della delega legislativa.  Quali parametri - ulteriori rispetto a quelli generali di cui all’art. 32 l. 234/2012 - l’art.5 prevede, infatti: a) la definizione in modo sufficientemente preciso della natura e delle categorie delle infrazioni rilevanti; b) la garanzia del rispetto del principio di proporzionalità; c) l’esercizio della possibilità di accesso ai dati, subordinata al controllo preventivo di un giudice o di un organo amministrativo indipendente, salve le ipotesi in cui ricorrano casi di urgenza debitamente giustificati o si proceda per i reati di cui agli articoli: 406, comma 5-bis c.p.p. (che comprende anche i delitti di competenza delle Procure distrettuali), 371-bis, comma 4-bis c.p.p., estorsione aggravata ai sensi dell’art. 629, terzo comma c.p..  

La norma non richiama l’onere informativo ritenuto, dalla Corte, necessario. E’ ragionevole ritenere che esso si ritenga già previsto dalle pertinenti norme del codice di rito penale e dal carattere necessariamente motivato dell’atto con il quale la misura reale è disposta. Tuttavia, qualora la disciplina fosse inserita – come parrebbe potersi evincere dall’alinea – all’interno del d.lgs. 51 del 2018, che regola non già singoli mezzi di acquisizione della prova ma la disciplina generale del trattamento dei dati personali nel contesto giudiziario penale e di polizia, sarebbe preferibile normare complessivamente i presupposti di adozione dell’atto e la relativa procedura in maniera organica. Sarebbe, inoltre, opportuno introdurre adeguate garanzie riguardo la catena di custodia della prova informatica e il contraddittorio sulla prova, come peraltro previsto da alcuni progetti di legge all’esame delle Camere.

In questa prospettiva sarebbe comunque preferibile, per ragioni di coerenza sistematica, inserire la novella all’interno del codice di procedura penale, con richiamo all’interno del d.lgs. 51 del 2018 che, in quanto disciplina “di cornice”, regola il trattamento dei dati nel contesto giudiziario penale nel suo complesso e non, invece, relativamente ai singoli atti d’indagine.  Sarebbe, infine, opportuno prevedere l’acquisizione del parere del Garante sullo schema di decreto legislativo, così da poter assicurare la massima coerenza della disciplina proposta con la normativa in materia di protezione dei dati personali.

Infine, sarebbe auspicabile cogliere l’occasione del disegno di legge in esame per introdurre una delega di legislativa di adeguamento dell’ordinamento interno al Regolamento (UE) 2024/900, applicabile a decorrere dal 10 ottobre 2025, relativo alla trasparenza e al targeting della pubblicità politica. Esso ha introdotto norme armonizzate relative alla fornitura di servizi di pubblicità politica e sancito obblighi di trasparenza e diligenza per tutti gli operatori coinvolti, nonché imposto limiti rigorosi all’utilizzo di tecniche di targeting e di consegna di messaggi pubblicitari basate sul trattamento dei dati personali.

Correlativamente, il Regolamento Ue 2016/679 (GDPR) introduce principi generali applicabili ai trattamenti di dati personali vietando, in linea di principio, il trattamento di quelli relativi alle opinioni politiche, salva la sussistenza di specifiche condizioni derogatorie (art. 9). Tuttavia, la specificità del contesto politico-elettorale richiede norme di dettaglio che tengano conto delle peculiarità di tale ambito, anche considerando la possibilità d'inferenza di orientamenti politici spesso anche attraverso l'analisi di dati apparentemente neutri.

La particolare rilevanza del tema e, al contempo, l’esigenza di coordinamento sistematico e normativo con il plesso normativo più generale (GDPR) sia sotto il profilo della governance, sia sotto quello sanzionatorio suggerisce, dunque, l’opportunità dell’introduzione di una delega legislativa per il compiuto adeguamento dell’ordinamento interno al Regolamento 2024/900.  Anche in tal caso, sarebbe auspicabile l’acquisizione del parere del Garante sullo schema di decreto legislativo, al fine di garantire la massima coerenza normativa sul punto.

Entrambi i temi rappresentati rivestono particolare rilevanza ordinamentale, toccando in un caso il bilanciamento tra riservatezza ed esigenze investigative e, nell’altro, la tutela dell’autodeterminazione su di un terreno cruciale per la democrazia, quale il processo politico-elettorale. Si ringrazia dunque, sin d’ora, per l’attenzione che vi si vorrà riservare.