DDL concretezza e bilanciamento privacy-controllo: le remore del Garante e la rivolta dei presidi

E’ iniziato ieri l’esame, in seconda lettura, del disegno di legge c.d. “Concretezza” sul pubblico impiego (DDL S-920-B) che lo scorso 10 aprile 2019 aveva ottenuto il via libera dalla Camera del dei deputati (DDL C-1433 che assorbe il C 781) con 272 voti a favore, 182 contrari e una astensione.
Il provvedimento, collegato alla Manovra di Bilancio, è stato presentato dal Ministro per la pubblica amministrazione di concerto con il Ministro dell’interno, con il Ministro per gli affari regionali e le autonomie, il Ministro dell’istruzione, dell’università e della ricerca nonché con il Ministro dell’economia e delle finanze.
L’iniziativa, il cui titolo completo è “Interventi per la concretezza delle azioni delle pubbliche amministrazioni e la prevenzione dell’assenteismo” si prefigge di contrastare l’assenteismo, aumentare l’efficienza, la digitalizzazione dei processi.
Le più rilevanti novità in merito alla lotta contro i cc.dd. “furbetti del cartellino” sono principalmente due:
. il sistema di verifica biometrica dell’identità;
. l’installazione di un sistema di video-sorveglianza negli uffici pubblici.
Altra novità è l’istituzione del Nucleo della concretezza, una “squadra” composta da 53 unità scelte tra i dipendenti statali con lo scopo di aiutare le amministrazioni pubbliche ad individuare gli assenteisti, elaborare e mettere in atto le misure correttive.
La prima misura si va a sostituire al meccanismo attuale di identificazione perché i soggetti sottoposti alla verifica biometrica sono già noti all’Amministrazione, in quanto dipendenti; qui il sistema effettuerà una verifica e non un vero e proprio riconoscimento.
Per quanto riguarda, invece, i sistemi di video-sorveglianza, il Ministero dell’Economia e delle Finanze ha già istituito un fondo di 35 milioni di euro per la loro installazione nelle sedi e negli uffici pubblici.
Intendiamo in questa sede approfondire il dibattito, anche acceso, intervenuto sulle misure considerate particolarmente invasive sia dai destinatari che dal Garante per la protezione dei dati personali.
Cominciamo col dire che sono esclusi dall’obbligo di riconoscimento biometrico gli insegnanti, i quali sono già tenuti a compilare quotidianamente il registro elettronico, che funge da verifica della presenza.
Viceversa, però, la norma si applicherebbe per l’attestazione della presenza giornaliera dei dirigenti scolastici, i quali dovranno rispettare le regole di frequenza spettanti a tutti gli altri lavoratori pubblici, svolgendo il proprio lavoro ad un orario prestabilito che va dalle 8:00 alle 14:00.
Tuttavia, l’obbligo di fare registrare l’impronta digitale per appurare oltre ogni ragionevole dubbio la propria presenza nel plesso scolastico, negli orari prestabiliti dal contratto, è stato percepito come una vera e propria umiliazione, che precluderebbe qualsiasi tipologia di lavoro svolta fuori dal plesso scolastico di competenza.
I dirigenti, pertanto, nella prospettiva che la legge venga effettivamente approvata hanno reagito inviando una lettera protesta in ci, tra l’altro, hanno evidenziato la differenza di trattamento esistente tra insegnanti e dirigenti dello stesso plesso scolastico.
Sull’argomento ha riferito in commissione anche il Garante Privacy.
Rispetto al testo approdato alla Camera, è stata apportata una limitata modifica alla previsione di cui all’articolo 2,
Questa modifica dovrà essere valutata alla luce del canone di proporzionalità, che nel contesto della protezione dati si pone come parametro essenziale di legittimità del trattamento, sotto un duplice profilo.
Da un lato, esso rappresenta un criterio regolativo essenziale nello svolgimento del trattamento, da parte del titolare, per quanto concerne in particolare la scelta sulla portata e le modalità del trattamento stesso.
Per altro verso, il principio di proporzionalità rappresenta un parametro generale di legittimità delle limitazioni del diritto alla protezione dati, da osservare – in conformità ai canoni di cui al 52 della Carta di Nizza – anche in sede di esercizio del potere legislativo.
La Carta prevede, infatti, una serie di requisiti puntuali per le limitazioni dell’esercizio dei diritti e delle libertà dalla stessa riconosciuti (tra i quali appunto anche il diritto alla protezione dei dati personali). Tra questi rilevano, in particolare, il necessario rispetto del contenuto essenziale del diritto e il principio di proporzionalità, che ammette limitazioni dei diritti fondamentali solo se “siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà”.
I principi di necessità e proporzionalità sono stati declinati con particolare nettezza dalla disciplina di protezione dati (prima direttiva 95/46, ora Regolamento 2016/679 e direttiva 2016/680 per giustizia penale e polizia) e interpretati con implicazioni di assoluto rilievo dalla Corte di giustizia.
A tale riguardo va sottolineato che con la sentenza Digital Rights – a proposito di data retention – la Corte di Giustizia ha dichiarato invalido un intero atto normativo dell’Unione per violazione del principio di proporzionalità.
Il diritto alla protezione dei dati si è ritenuto, infatti, eccessivamente compresso (nonostante l’indiscutibile merito del fine di contrasto dei reati) da una misura, quale la conservazione dei tabulati telefonici e telematici, massiva in quanto indirizzata alla generalità dei cittadini e non limitata ad esigenze repressive dei soli reati gravi.
Il principio di proporzionalità impone, dunque, in primo luogo di limitare le misure a vario titolo restrittive del diritto ai soli casi sorretti da esigenze specifiche e differenziate, rendendo così generalmente illegittime le misure massive.
In secondo luogo, i principi di necessità e proporzionalità inducono a ritenere illegittime le misure limitative del diritto ogniqualvolta sia possibile adottare misure parimenti efficaci ma meno invasive: ragione che ha indotto la Corte di Giustizia ad annullare, per violazione di tali principi, un regolamento europeo in materia di pubblicità delle sovvenzioni agricole.
Tali principi legittimano dunque le misure più invasive solo a fronte dell’inidoneità allo scopo di sistemi meno limitativi del diritto, in quanto “deroghe e restrizioni” ai diritti fondamentali devono intervenire “entro i limiti dello stretto necessario”.
Il Regolamento 2016/679 ha valorizzato ulteriormente il canone di proporzionalità soprattutto in ambito pubblico, riferendolo alla stessa previsione normativa prima ancora che al trattamento in sé, chiedendo quindi al legislatore di contemperare le specifiche esigenze sottese al trattamento con il diritto alla protezione dati.
Naturalmente, lo scrutinio di proporzionalità deve essere ancora più stringente rispetto ai dati ai quali si riconosce una tutela rafforzata in ragione dei rischi inevitabilmente connessi al loro trattamento.
Così, per particolari categorie di dati tra i quali, appunto, quelli biometrici, il Regolamento sancisce in linea generale il divieto di trattamento, superabile solo in presenza di alcuni presupposti tra i quali, in particolare (e anche in materia gius-lavoristica):
. la sussistenza di una previsione normativa specifica;
. la necessità del trattamento per la realizzazione dei legittimi fini perseguiti, nonché
. il rispetto di garanzie appropriate.
Alla luce di questi parametri va, dunque, letto l’articolo 2 del ddl, che prevede per tutte le amministrazioni pubbliche – eccetto per il personale in regime di diritto pubblico e per il lavoro agile – l’introduzione di sistemi di verifica biometrica dell’identità e di video-sorveglianza degli accessi in sostituzione dei diversi sistemi di rilevazione automatica, attualmente in uso, ai fini della verifica dell’osservanza dell’orario di lavoro.
L’introduzione di tali sistemi deve avvenire – secondo la previsione introdotta al Senato – “nel rispetto dei princìpi di proporzionalità, non eccedenza e gradualità ai sensi dell’articolo 5, par. 1, lettera c)”, del Regolamento.
Le modalità attuative della norma sono demandate a regolamenti da adottarsi, previo parere del Garante sulle modalità di trattamento dei dati biometrici, nel rispetto dell’articolo 9 del Regolamento e delle misure di garanzia definite dall’Autorità.
La norma prevede, attraverso l’impiego contestuale -e non alternativo- dei relativi sistemi, il trattamento sia di dati personali quali l’immagine della persona (con l’utilizzo di strumenti di video-sorveglianza), sia di dati biometrici, destinatari come detto di una tutela rafforzata che ne ammette l’utilizzo solo in presenza di specifici requisiti.
Nonostante l’inciso inerente al rispetto dei principi di proporzionalità, non eccedenza e gradualità, la norma sembrerebbe potenzialmente incompatibile con tali principi, laddove intenda – come parrebbe dato il tenore letterale – continuare a configurare la rilevazione biometrica -unitamente peraltro alle videoriprese – quale obbligatoria in ogni pubblica amministrazione.
Infatti, appare non conforme al canone di proporzionalità l’ipotizzata introduzione sistematica, generalizzata e indifferenziata per tutte le pubbliche amministrazioni, di sistemi di rilevazione biometrica delle presenze, in ragione dei vincoli posti dall’ordinamento europeo per l’invasività di tali forme di verifica e le implicazioni proprie della particolare natura del dato.
Il requisito del rispetto dei principi di proporzionalità e minimizzazione, introdotto al Senato, avrebbe una portata normativa effettiva solo laddove si intendesse la norma come volta a prevedere:
a) l’alternatività del ricorso alla biometria o alla video-sorveglianza: ma il dettato normativo è chiaro nel configurare invece tali sistemi come cumulativi, il che di per sé contrasta con il canone di necessità e proporzionalità;
b) l’introduzione di tali nuovi sistemi di rilevazione non già come obbligatoria ma ammessa al ricorrere di particolari esigenze e ove altri sistemi di rilevazione delle presenze non risultino idonei rispetto agli scopi perseguiti.
Sarebbe, pertanto, auspicabile e opportuno modificarne il testo prevedendo espressamente:
. l’alternatività del ricorso alla rilevazione biometrica e alle videoriprese;
. l’ammissibilità della rilevazione biometrica in presenza di fattori di rischio specifici ovvero di particolari presupposti quali, ad esempio le dimensioni dell’ente, il numero dei dipendenti coinvolti, la ricorrenza di situazioni di criticità che potrebbero essere anche influenzate dal contesto ambientale.
L’articolazione, nel dettaglio, di tali requisiti ben potrebbe essere demandata ai regolamenti di cui ai commi 1 e 4.
Ove invece si confermasse la versione attuale della norma – interpretandola come volta a sancire l’indiscriminata e astratta obbligatorietà dei nuovi sistemi di rilevazione – essa sarebbe difficilmente compatibile con il criterio di “necessità nel rispetto del principio di proporzionalità” di cui all’art. 52 della Carta di Nizza.
L’Air (analisi impatto regolazione) richiama, sul punto, l’esigenza di contrasto di un fenomeno, quale quello della falsa attestazione della presenza in servizio, indubbiamente grave ma rispetto al quale non sembrano emergere dati univoci in ordine alla sua sistematica e generalizzata diffusione nelle pubbliche amministrazioni.
Le statistiche dicono, infatti, che il 10 % dei provvedimenti di licenziamento disciplinare adottati nell’ultimo anno derivino da accertamento in flagranza di falsa attestazione della presenza in servizio: in valore assoluto 89, metà dei quali definiti con altro tipo di provvedimento, in alcuni casi anche per mutata contestazione.
E’ un dato di per sé sicuramente rilevante, ma non sintomatico della pervasività generale del fenomeno o comunque tale da giustificare l’adozione, in ciascuna amministrazione pubblica, di un sistema di rilevazione della presenza in servizio così invasivo.Pertanto l’astratta, generalizzata e indifferenziata presunzione normativa di sussistenza, per tutte le pubbliche amministrazioni, di fattori di rischio tali da far ritenere quello biometrico l’unico sistema in grado di assicurare il rispetto dell’orario di lavoro non sembrerebbe compatibile con il principio di proporzionalità.
Per realizzare il condivisibile fine del contrasto dell’assenteismo e della falsa attestazione della presenza in servizio dovrebbe, pertanto, farsi preventivamente ricorso a misure meno limitative del diritto alla protezione dei dati, utilizzando i sistemi di rilevazione biometrica, solo in presenza di fattori di rischio specifici, qualora soluzioni meno invasive debbano ragionevolmente ritenersi inidonee allo scopo.
Tale limitazione dovrebbe emergere chiaramente dal tenore testuale della norma.
Il semplice richiamo ai principi di cui all’art. 5, par.1, c) del Regolamento, se ininfluente ai fini della configurazione come non obbligatoria di tali nuovi metodi di rilevazione, si risolve in una mera clausola di stile, inidonea a escludere il contrasto della disposizione con la disciplina europea.
Né, del resto, tale contrasto verrebbe sanato riferendo il rispetto del canone di proporzionalità alle specifiche modalità attuative di tale obbligo di rilevazione biometrica (modulando diversamente, ad esempio, le tipologie di dati utilizzati o il termine di conservazione).
In primo luogo, infatti, anche utilizzando – come si è letto essere intenzione del Governo – tecnologie basate su applicazioni e software nella disponibilità del dipendente, sarebbe comunque necessario individuare i soggetti legittimati a trattare i dati rilevati e le puntuali condizioni di utilizzo, nonché le garanzie idonee a evitare accessi abusivi o data breach.
Ma comunque, anche così delimitandola, tale previsione risulterebbe ancora incompatibile con i principi di proporzionalità, non eccedenza, minimizzazione nel configurare l’introduzione dei sistemi di verifica biometrica dell’identità e di video-sorveglianza degli accessi come astrattamente obbligatoria a prescindere da qualsiasi esigenza concreta e specifica in tal senso.
La norma andrebbe dunque riformulata, evitandone non solo l’intrinseca contraddittorietà ma anche e soprattutto l’incompatibilità con la disciplina europea.
Saprà il Senato introdurre l’opportuno bilanciamento tra gli interessi in gioco nel pur ristretto limite imposto da una seconda lettura?
Vi terremo aggiornati.

Segui e condividi i nostri contenuti anche sui social network...