Anche lo Stato della Città del Vaticano adotta un “GDPR” tutto suo. Spieghiamoci meglio, si tratta di una importante novità legislativa che va a colmare un’esigenza giuridica per rispondere alle necessità e alle sfide di questi tempi, presenti non di meno in Vaticano: la protezione dei dati personali, per quanto sia solo un aspetto della nascente (se non già nata) società digitale.
Da una prima lettura, si ispira fortemente alla normativa europea in materia di protezione dati personali, l’arcinoto GDPR. Tuttavia, non mancano le differenze, già solo in ragione dell’assetto istituzionale del Vaticano.
La ratio è sempre la stessa: la volontà di proteggere massimamente i diritti e le libertà delle persone fisiche, in cui rientra pacificamente il diritto alla protezione dei dati personali.
Ma andiamo per gradi, partendo da quelle che possono ritenersi le peculiarità rispetto al GDPR per poi analizzare l’articolato del Decreto e quindi soffermarci sulle differenze in termini concettuali, traendo le conclusioni.
Indice degli argomenti
Legge privacy del Vaticano: peculiarità rispetto al GDPR
Tra le peculiarità rispetto al GDPR, a parere di chi scrive, rientra il Titolo VII che riguarda i “Mezzi di reclamo, responsabilità e provvedimenti” (artt. 25-28).
Intanto, inizia con una clausola di salvaguardia, prevista dall’art. 25 a mente della quale leggiamo come sia “Fatto salvo il ricorso all’autorità giudiziaria dello Stato della Città del Vaticano, l’interessato, qualora ritenga che il trattamento dei suoi dati violi il presente Regolamento, ha diritto di proporre reclamo in forma scritta al RPD”.
Di qui, la prima peculiarità che differenzia i due Regolamenti: l’RPD della data protection in Vaticano non è affatto lo stesso che conosciamo nella UE. Qui fa da Garante, là da punto di contatto.
Tra le sue attività, come previsto dall’art. 26, rientra in primis “la gestione della richiesta dell’interessato”. Nella fattispecie, qualora l’RPD la ritenga fondata ovvero “non manifestamente infondata” secondo la lettera della norma, “procede alla raccolta di informazioni presso il competente responsabile del trattamento e la relativa struttura organizzativa, con facoltà di acquisire, se necessario, elementi documentali” (I comma).
Non solo, “Nello svolgimento della sua attività il RPD può [anche] avvalersi dell’ausilio del Corpo della Gendarmeria Vaticana, nonché dell’Unità di Controllo e Ispezione del Governatorato dello Stato della Città del Vaticano” (II comma).
E conclude: “entro il termine di 30 giorni, estendibili a 90 giorni in ipotesi di particolare complessità, il RPD emette parere motivato sulla richiesta e lo trasmette per la Superiore valutazione e conseguente determinazione al Presidente del Governatorato dello Stato della Città del Vaticano” (III comma).
In pratica, fa da Autorità Garante, ecco perché viene individuato in una figura di un certo rilievo ovvero in quel Consigliere Generale dello Stato della Città del Vaticano di cui si è detto in principio.
Ecco come, nel solco della tipica dualità della missione religiosa da un lato e quella amministrativa dall’altro, questo Decreto si distingue, pur avendo un approccio molto simile, ma non del tutto identico al GDPR.
L’articolato del Decreto: una prima analisi
Si tratta di un corpus normativo composto da 7 Titoli e, in particolare:
- Titolo I – Disposizioni generali
- Titolo II – Principi
- Titolo III – Trattamento dei dati
- Titolo IV – Responsabile della protezione dei dati
- Titolo V- Titolare e responsabile del trattamento
- Titolo VI – Interessato al trattamento
- Titolo VII – Mezzi di reclamo, responsabilità e provvedimenti
Per un totale di 28 articoli, che analizziamo di seguito nelle loro singole portate in chiave sinottica.
L’ambito di applicazione territoriale e materiale
Il Decreto in disamina fa, anzitutto, parte dell’Ordinamento Giuridico Vaticano caratterizzato dal fatto di riconoscere il diritto canonico quale fonte normativa e insostituibile.
Di qui, l’applicazione limitata ai confini del territorio dello Stato della Città del Vaticano.
Ne consegue che tale Decreto disciplina soltanto il trattamento dei dati personali effettuato dal Governatorato dello Stato della Città del Vaticano, quale apparato amministrativo che esercita il governo della Santa Sede.
Le definizioni e i principi
Partiamo dalle definizioni e dai relativi principi. Sostanzialmente questi sono una “fotocopia” di quelli dettati dal GDPR.
L’elemento differenziale che balza subito agli occhi è dato, invero, dal principio enunciato dall’art. 5 che concerne la “liceità del trattamento”. In pratica, si presuppone quale unica base giuridica del trattamento, il consenso dell’interessato.
Quest’ultimo non occorre qualora si abbia la necessità di assicurare:
- lo svolgimento delle attività di rappresentanza dello Stato della Città del Vaticano nei rapporti con gli Stati e con altri soggetti di diritto internazionale;
- l’adempimento di accordi internazionali al fine di garantire la cooperazione giudiziaria in materia civile, penale e di polizia;
- l’esecuzione di un contratto di cui l’interessato è parte, nonché l’esecuzione di misure precontrattuali, adottate su richiesta del medesimo;
- l’adempimento di un obbligo legale o di un impegno morale meritevole di tutela giuridica, secondo la normativa dello Stato della Città del Vaticano, al quale è soggetto il titolare del trattamento;
- la tutela di un interesse vitale dell’Interessato o di un’altra persona fisica, qualora l’Interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso;
- l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento.
Gli (ex) dati sensibili: le particolari categorie di dati personali
Circa il trattamento di “categorie particolari di dati personali” ex art. 6, si può sostenere che sia speculare all’art. 9 del GDPR, ponendo un generale divieto di trattamento al I comma e, quindi una serie di deroghe al II comma.
Naturalmente, occorre che, nel rispetto del principio di trasparenza, all’interessato venga fornita una specifica e dettagliata “informativa”.
L’informativa
L’informativa deve contenere almeno le seguenti informazioni:
- sul titolare del trattamento e sui responsabili del trattamento;
- sul RPD;
- l’obiettivo e le modalità del trattamento;
- la finalità e la base giuridica del trattamento;
- la fonte dei dati personali;
- il destinatario dei dati personali;
- il trasferimento dei dati personali;
- il periodo di conservazione dei dati personali;
- l’esistenza di un processo decisionale automatizzato;
- le modalità di esercizio dei diritti delle persone interessate.
Non solo, essa “deve essere formulata in un testo conciso, chiaro, intellegibile e deve essere facilmente accessibile per l’Interessato. Il linguaggio deve essere semplice, chiaro e adeguatamente comprensibile da un pubblico diversificato (a titolo esemplificativo e non esaustivo, le condizioni di minore di età, diversa abilità, diversità linguistica ecc.).
L’informativa deve avere forma scritta cartacea o formato elettronico ed essere strutturata su più livelli per illustrare al meglio i diversi segmenti delle informazioni richieste. L’Informativa può anche essere fornita oralmente, purché sia dimostrata con altri mezzi l’identità dell’Interessato che l’ha ricevuta”, così come recita l’art. 8, al comma III.
Nulla di nuovo o meglio di diverso, sostanzialmente, rispetto a quello che già conosciamo per il GDPR.
Gli adempimenti: il registro delle attività del trattamento
Come il GDPR anche questo Decreto prevede, quale adempimento, la tenuta di un registro delle attività di trattamento da parte tanto del titolare che del responsabile del trattamento. In questo vanno indicate la finalità e gli obiettivi del trattamento, oltre alle modalità perseguite per svolgere l’attività stessa.
Tale registro dovrà essere tenuto da dei “Referenti” cioè a dire persone fisiche nominate dal titolare o dal responsabile del trattamento, con l’obbligo di aggiornarlo periodicamente.
Quanto al contenuto, ci deve essere:
- il nome del titolare del trattamento e del responsabile del trattamento;
- i nomi dei referenti;
- il nome del responsabile della protezione dei dati;
- le finalità e obiettivi del trattamento;
- la descrizione delle categorie dei dati personali trattati;
- le categorie di destinatari a cui i dati personali possono essere comunicati, ivi compresi anche i destinatari situati in Stati esteri e le organizzazioni internazionali;
- una valutazione dei coefficienti di rischiosità derivanti dal trattamento e i piani di rimedio per mitigare i rischi inerenti;
- le misure di sicurezza unitamente a una breve descrizione degli eventuali incidenti di sicurezza.
Le principali figure
Spicca in primo luogo il “Responsabile della Protezione dei Dati” (art.10) che qualifica un ruolo particolare e diverso dal RPD/DPO che conosciamo dal GDPR. Infatti, da una lettura attenta del Decreto in questione, le funzioni svolte da questa figura appaiono più simili a quelle attribuite al Garante.
Non a caso, viene attribuito al “Consigliere Generale dello Stato della Città del Vaticano”, chiamato a garantire la piena e corretta applicazione del Decreto, trattando i reclami presentati dagli interessati e agendo in piena indipendenza.
Segue nell’articolato, il “Titolare del trattamento” (art. 11) rappresentato dal “Governatorato dello Stato della Città del Vaticano”, nella persona del Segretario Generale del Governatorato.
Si tratta di un soggetto giuridico costituito dal complesso degli Organi di governo/Organismi (consultivi, operativi, scientifici, ausiliari), i quali concorrono tutti all’esercizio del potere esecutivo, nonché dotati di un’Organizzazione propria e annesso personale, non di meno chiamati a svolgere l’attività con efficacia ed efficienza.
All’art. 12 troviamo poi i “Responsabili del trattamento” i quali, nel Decreto in esame esercitano un ruolo assai diverso dagli omonimi ex art. 28 – GDPR. Intanto, si individuano tra i “ruoli apicali” degli Organismi del Governatorato e hanno il compito di attuare questo Regolamento evocando più che altro gli “esercenti la funzione di titolare del trattamento” presso la Presidenza del Consiglio dei ministri, previsti dal D.P.C.M. 25 maggio 2018.
Ancora, al successivo art. 13 troviamo i “Referenti” i quali, mutatis mutandis, ricordano molto gli “autorizzati al trattamento” previsti dal GDPR (art. 29). Essi rappresentano in pratica le persone fisiche autorizzate a mettere in atto, tra le altre, le misure di sicurezza e, parimenti, designate con atto scritto tanto dal Titolare quanto da ciascun Responsabile del trattamento
L’atto di nomina deve determinare quanto meno:
- la durata dell’incarico;
- il contenuto;
- i doveri e le responsabilità.
Ultimo ma non ultimo, ecco che troviamo l’Interessato al centro anche di questo impianto normativo, parimenti a quanto già siamo soliti a ragionare in ottica di accountability e GDPR.
Questi, analogamente a quanto previsto dal GDPR, può esercitare, “a mezzo di richiesta scritta, con modalità cartacea o elettronica, rivolta al titolare del trattamento la stessa gamma di diritti previsti dal GDPR (accesso, rettifica, cancellazione, portabilità, opposizione e limitazione del trattamento)”.
Qualora ritenga poi che il trattamento dei suoi dati, violi il Regolamento in questione, l’interessato ha sempre il diritto di proporre un reclamo scritto al RPD.
Le misure di sicurezza
Quanto alle “Misure di sicurezza” previste dall’art.14 ciascun responsabile del trattamento è tenuto a individuarle, al fine di ridurre i rischi derivanti dal trattamento. Si tratta di adeguati mezzi concepiti per “prevenire ipotesi di violazione dei dati personali”, così comerecita l’art. 14, al I comma.
Affinché le misure siano adeguate o meglio “idonee”, occorre che ciascun responsabile del trattamento effettui “un’analisi preventiva dello specifico contesto nel quale si colloca il trattamento dei dati personali alla luce dei seguenti fattori:
- necessità e proporzionalità del trattamento;
- tipologia dei dati;
- categoria degli interessati;
- rischi per i diritti e le libertà dell’Interessato derivanti dal trattamento;
- trasferimento di dati all’esterno dello Stato;
- durata di conservazione dei dati;
- profilazione dei dati, con particolare riferimento agli aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti dell’interessato”.
Ma non è tutto. Al III comma leggiamo che il responsabile del trattamento “ricorre, quando possibile, a tecniche di pseudonimizzazione e cifratura dei dati personali”, e se presenta “un rischio elevato per i diritti e le libertà della persona il responsabile del trattamento” ecco che “può richiedere un parere al RPD circa l’idoneità delle misure di sicurezza elaborate”, come previsto dal IV comma.
Nel complesso, in una lettura sinottica, ciò che suona strano è leggere come il tutto lo debba fare il responsabile del trattamento, e non il titolare come invece ci insegna il GDPR.
I diritti dell’interessato
Anche i diritti dell’interessato meritano un cenno. Sono contemplati dall’art. 17 al 22 del presente Decreto, e sono in particolare:
- il diritto di accesso (art. 17);
- il diritto di rettifica (art. 18);
- il diritto di cancellazione/diritto all’oblio (art. 19);
- il diritto alla portabilità dei dati (art. 20);
- il diritto di opposizione (art. 21);
- il diritto di limitazione di trattamento (art. 22).
Tutti questi diritti esplicati ripercorrono sostanzialmente il GDPR. Cosa merita rilevare è con riferimento all’art. 19, il diritto alla cancellazione per espressa previsione di legge, non si applica “nella misura in cui il trattamento sia necessario:
- per l’esercizio del diritto alla libertà di espressione e di informazione;
- per l’adempimento di un obbligo legale o impegno morale che richieda il trattamento previsto dalla normativa dello Stato della Città del Vaticano, ovvero per l’esecuzione di un compito svolto nell’interesse istituzionale o nell’esercizio di funzioni istituzionali;
- per motivi di interesse sanitario;
- a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica;
- per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria”.
In pratica, è prevista in questi casi una deroga all’esercizio del diritto.
Il periodo di conservazione
Il periodo di conservazione disciplinato dall’art. 23 del Decreto in disamina rievoca i principi del GDPR sulla data retention. Parimenti, i dati personali degli interessati non possono essere conservati per un arco temporale superiore alle finalità e nel rispetto dei principi di pertinenza e non eccedenza.
Il periodo di tempo deve essere indicato nel registro della attività di trattamento e “individuato tenuto conto dei motivi per cui la struttura organizzativa propria del responsabile del trattamento deve trattare i dati, nonché eventuali obblighi legali di conservazione dei dati per un determinato periodo di tempo” come da II comma.
Ancora, i termini di conservazione devono essere “coerenti” con i contenuti dell’Informativa e ove non fosse possibile indicarli con precisione, occorre quanto meno indicare “i criteri utilizzati per determinare tale periodo” (III comma). Tal quale al GDPR.
In ogni caso, il titolare del trattamento può prevedere periodi di conservazione anche più lunghi, in caso di trattamento dati personali per fini di archiviazione nel pubblico interesse, ovvero di ricerca scientifica o storica (comma IV), purché sia motivato.
La conclusione del procedimento di reclamo
Alla penultima disposizione normativa, troviamo un indiretto riferimento alle possibili “sanzioni”. In particolare, leggiamo come “il Presidente del Governatorato dello Stato della Città del Vaticano, tenuto conto del parere tramesso dal RPD, a conclusione del procedimento, emetta una Ordinanza motivata non impugnabile, di accoglimento o di rigetto del reclamo” (I comma).
Tale ordinanza deve essere “comunicata, entro 30 giorni, estendibili a 90 giorni in ipotesi di particolare complessità, all’Interessato” (II comma).
Se l’istanza dell’interessato però fosse accolta, quest’ultimo verrà rimesso davanti alla competente autorità giudiziaria, per una potenziale richiesta danni (materiali o immateriali) a seguito del trattamento illecito.
Per il vero, mette in conto evidenziare che non si parla espressamente di sanzioni se non di generici “richiami, ammonizioni e opportuni provvedimenti correttivi”, né di criteri né tanto meno di importi. È previsto un termine di cui si dovrà capirne la natura: se perentorio o ordinatorio.
Risulta, invece, curiosa e interessante la previsione predetta in ordine alla presunta pretesa risarcitoria riconosciuta in astratto all’interessato al quale viene data ragione.
L’entrata in vigore
Quanto all’entrata in vigore, questo Decreto/Regolamento è “immediatamente, ad experimentum, per un triennio”, e dopo si vedrà.
Privacy statale ed ecclesiale: differenze concettuali
Il concetto di privacy nei due ambienti statale ed ecclesiale è differente. Infatti, in ambito ecclesiale emerge un concetto di intimitas che, dal punto di vista giuridico, trae la sua origine come noto, da un articolo di W. Arren – Brandeis titolato «the right to privacy» risalente al dicembre del 1890 (Harvard Law Review).
Il diritto ad essere solo, concepito inizialmente come barriera all’intimità, si è evoluto con il tempo, rientrando tra quei diritti concepiti per agevolare l’inserimento della persona nella sua dimensione sociale.
Dal punto di vista giuridico-canonico, il bene giuridico tutelato è il diritto a difendere la propria intimità. Poiché le specificità Stato – Chiesa sono complesse e numerose, qui ci limiteremo, ad evidenziarne alcune.
Innanzitutto, a differenza dell’Ordinamento ecclesiale, quello statale protegge la riservatezza/privacy intesa come tutto ciò che è improntato a discrezione, al rispetto della sfera intima, cui può associarsi un’idea di riserbo della persona.
L’attuale privacy, tuttavia, va ben oltre a quella esigenza di “privatezza” limitata alla pretesa di “essere lasciati soli” o “in pace”, necessitando di una tutela espansa dovuta all’introduzione di nuovi mezzi di comunicazione dove circolano miriadi di dati.
Oggi, dunque, la riservatezza si è evoluta in termini di protezione dei dati.
Non a caso, si parla di “data protection” che si declina in diritto:
- di massa poiché riguarda tutti;
- dinamico in quanto segue i dati;
- della persona in quanto consente all’individuo di sviluppare la sua personalità in relazione alla collettività.
La lesione della buona fama, infatti, non necessariamente pregiudica l’intimità, né men che meno viceversa. Non solo, tali dati possono essere copiati e riutilizzati, finanche a basso costo, e con mezzi semplici da utilizzare diventando la merce di scambio nell’odierna società tecnologica, per alimentare servizi aggiuntivi. Intorno ai network è nata una nuova “età dell’oro” — vendita di indirizzi, di dati (più o meno legale), pubblicità eccetera.
Questo rende ancora più vulnerabile la gestione dei dati vista la pressione economica che può risultare fattore esterno destabilizzante.
Appare chiaro, dunque, come la tutela dei dati coinvolga il rapporto tra i due ordinamenti, che è diretta conseguenza della necessità di tutelare la protezione dei dati personali.
Infatti, la legislazione ecclesiale si è dovuta allineare, il più possibile, alle normative statali, da cui sono derivati i due decreti generali sulle “disposizioni per la tutela del diritto alla buona fama e alla riservatezza”.
In definitiva, la riservatezza in ambito ecclesiale è un concetto diverso e ben più ampio nel senso di “alto” rispetto a quello che siamo soliti a concepire nell’Ordinamento statale. Più che di privacy, la riservatezza quale intimitas “buona fama”, rientra tra quei “beni temporali” più preziosi e secolari.
Conclusioni
Il Regolamento Generale sulla Protezione dei Dati del Vaticano o meglio il Decreto, finora esaminato, rappresenta dunque un importante passo in avanti nella regolamentazione della protezione dei dati in uno Stato unico nel suo genere.
