Il consenso al trattamento dei dati personali

Lo studio si propone di evidenziare la vera ratio della legge n. 675/96 volta a tutelare da un lato la persona come valore, dall'altro a garantire il legittimo svolgimento di attività economiche, informatiche e professionali implicanti l'elaborazione di dati personali, attraverso l’esame del ruolo del consenso, sia come strumento posto a tutela dei cittadini, sia come condizione di liceità del trattamento, in coerenza con la scelta del legislatore di abbandonare un modello di tutela passiva (divieti) a favore di un insieme di strumenti di difesa attiva (consenso, accesso, informazione).
Dalla rassegna dei “casi di esclusione del consenso” emerge innanzitutto l’anima “costituzionalistica” del legislatore del 1996 il quale ha ritenuto opportuno privare l’interessato di una così importante facoltà in presenza di interessi poziori antitetici, attraverso un giudizio di bilanciamento proprio della nostra Carta Fondamentale. Per tali tipologie di dati, inoltre, è sicuramente inaccettabile la qualificazione del rapporto interessato-informazioni personali in termini proprietari, posto che esso necessariamente sottende la possibilità di impedire l’inizio del trattamento attraverso una dichiarazione di diniego. Degna di un esame a parte è stata anche la disciplina prevista per le attività connesse ai c.d. dati sensibili, per le quali la legge richiede non solo il consenso dell’interessato ma anche il provvedimento autorizzatorio del Garante (attualmente concesso “collettivamente”). Anche questa indicazione porta naturalmente a dedurre che neppure i dati sensibili, proprio per la delicatezza che li contraddistingue, risulta appropriata una ricostruzione di tipo dominicale, pur essendo veramente incisivo il grado di protezione offerto dal legislatore.
In particolare si è sostenuto che con la legge 675 è stato riconosciuto anche nel nostro ordinamento il c.d. diritto all’autodeterminazione informativa, inteso come un generalissimo diritto della personalità capace di realizzarsi secondo strumenti e tecniche diversi a seconda degli interessi in gioco, tra cui i diritti assoluti e i diritti della personalità espressamente menzionati all’art.1. Tra le facoltà inerenti al diritto spicca, tra tutte, il consenso dell’interessato che si configura, quindi, sia come espressione di un generale ripensamento in termini di privacy (“dalla segretezza al controllo”, usando l’autorevole espressione di Stefano Rodotà), che come dimostrazione della bontà della qualificazione in termini di diritto all’autodeterminazione informativa della situazione giuridica in esame, dal momento che il consenso appare sicuramente lo strumento più indicato per poter selezionare e determinare l’utilizzo delle informazioni personali.
L’elaborato sarebbe poi apparso monco ed incompleto se non avesse tenuto conto delle implicazioni che ha comportato in tale materia lo sviluppo e la diffusione di massa di Internet. I Garanti Europei in seno alla Conferenza di Primavera hanno sostenuto la necessità dell’acquisizione preventiva del consenso, preceduta dalla visualizzazione sullo schermo della relativa informativa. È stato inoltre chiarito che i dati presenti in Internet debbano essere distinti tra quelli degli utenti, detenuti dai provider nell’ambito del proprio rapporto contrattuale (dati anagrafici, archivio password, transactional data) e quelli introdotti dagli utenti (informazioni immesse nel WWW, opinioni espresse su listserv e newsgroup, contenuto delle e-mail). E' stata ovviamente esaminata la responsabilità del provider è emersa a partire dalla giurisprudenza statunitense.La recente normativa Comunitaria (art.13 e 14 della Dir. 2000/31/CE) dimostra che si è ancora lontani da un esatta individuazione di una soluzione ragionevole, perché essa, se da un lato esclude una tale imputazione oggettiva, non contribuisce a chiarire chi sia il responsabile del trattamento ove il provider consenta la divulgazione di informazioni da parte di utenti anonimi o comunque non facilmente identificabili dall’interessato.
Tra i trattamenti non effettuati direttamente dal provider si è segnalato, in particolare, l’invio dei cookies non protetti, vale a dire consultabili da qualunque Internet server al momento della connessione attraverso la lettura del file cookies, per il quale la Conferenza ha ribadito la necessità di acquisire il consenso espresso, nonché l’attività c.d. di spamming (invio di posta-spazzatura).