Dati giudiziari. Cosa cambia con la Legge “Semplificazioni”

Con l’art. 72, che abroga i commi 2, 4 e 6 dell’art. 2 octies del Codice Privacy (d.lgs. 196/2003), il trattamento dei dati relativi a condanne penali e reati che non avviene sotto il controllo dell'autorità pubblica è sottoposto ad un regime più rigoroso, fondato esclusivamente su una fonte primaria. In mancanza di una disciplina di rango primario espressa e compiuta, il trattamento è precluso.

In sintesi

• Fine del potere integrativo via decreti ministeriali: la base normativa deve autorizzare in modo espresso il trattamento e contenere già le “garanzie appropriate” richieste dal GDPR (art. 10), senza rinvii a fonti secondarie.
• Protocolli di legalità/antimafia e prevenzione: i protocolli, da soli, non legittimano più il trattamento; occorre una norma primaria che precisi dati trattabili, finalità, limiti, soggetti e cautele.
• Autorità Garante: si attenua il coinvolgimento consultivo ex ante (non sono più previsti pareri obbligatori su decreti ministeriali), si rafforza la vigilanza e l’enforcement ex post su basi giuridiche inadeguate o interpretazioni estensive.

Cosa fare ora

• Censire i trattamenti di dati giudiziari e verificare l’esistenza di un titolo legittimante di rango primario, espresso e completo.
• Interrompere i trattamenti privi di fondamento legislativo adeguato: non sono più disponibili strumenti regolamentari per colmare lacune.
• Aggiornare registri dei trattamenti, informative, policy e DPIA.
• Rivedere protocolli, convenzioni e clausole con partner: assicurarsi che iniziative “antimafia”/prevenzione poggino su norme primarie idonee.

Commento Osborne Clarke

Il nuovo assetto è più lineare ma anche più restrittivo: la compliance si gioca a monte, sul terreno della legge. Chi tratta dati giudiziari deve poter dimostrare, oggi più che mai, un titolo normativo solido e garanzie già scolpite nella fonte primaria.