Dati personali, non spetta alle regioni disciplinare il trattamento

SENTENZA N. 69

ANNO 2024

REPUBBLICA ITALIANA

IN NOME DEL POPOLO ITALIANO

LA CORTE COSTITUZIONALE

composta da: Presidente: Augusto Antonio BARBERA; Giudici : Franco MODUGNO, Giulio PROSPERETTI, Giovanni AMOROSO, Francesco VIGANÒ, Luca ANTONINI, Stefano PETITTI, Angelo BUSCEMA, Emanuela NAVARRETTA, Maria Rosaria SAN GIORGIO, Filippo PATRONI GRIFFI, Marco D’ALBERTI, Giovanni PITRUZZELLA, Antonella SCIARRONE ALIBRANDI,

ha pronunciato la seguente

SENTENZA

nel giudizio di legittimità costituzionale dell’art. 3 della legge della Regione Puglia 15 giugno 2023, n. 13, recante «Disposizioni per prevenire e contrastare condotte di maltrattamento o di abuso, anche di natura psicologica, in danno di anziani e persone con disabilità e modifica alla legge regionale 9 agosto 2006, n. 26 (Interventi in materia sanitaria)», promosso dal Presidente del Consiglio dei ministri con ricorso notificato il 17 agosto 2023, depositato in cancelleria il successivo 18 agosto, iscritto al n. 25 del registro ricorsi 2023 e pubblicato nella Gazzetta Ufficiale della Repubblica n. 38, prima serie speciale, dell’anno 2023.

Visto l’atto di costituzione della Regione Puglia;

udita nell’udienza pubblica del 20 marzo 2024 la Giudice relatrice Emanuela Navarretta;

uditi l’avvocato dello Stato Giancarlo Caselli per il Presidente del Consiglio dei ministri e l’avvocato Isabella Fornelli per la Regione Puglia;

deliberato nella camera di consiglio del 20 marzo 2024.

Ritenuto in fatto

1.– Con ricorso iscritto al n. 25 del reg. ric. 2023, il Presidente del Consiglio dei ministri, rappresentato e difeso dall’Avvocatura generale dello Stato, ha promosso questioni di legittimità costituzionale dell’art. 3 della legge della Regione Puglia 15 giugno 2023, n. 13, recante «Disposizioni per prevenire e contrastare condotte di maltrattamento o di abuso, anche di natura psicologica, in danno di anziani e persone con disabilità e modifica alla legge regionale 9 agosto 2006, n. 26 (Interventi in materia sanitaria)», per violazione dell’art. 117, secondo comma, lettera l), della Costituzione, con riguardo alle materie «ordinamento civile» e «ordinamento penale», e per violazione dell’art. 117, primo comma, Cost., in relazione sia al regolamento (UE) n. 679/2016 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), sia alla direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio.

1.1.– La disposizione impugnata si colloca nel contesto di una legge regionale che intende prevenire e contrastare condotte di maltrattamento o di abuso, anche di natura psicologica, in danno di anziani e persone con disabilità nell’ambito delle strutture socio-sanitarie e socio-assistenziali a carattere residenziale, semi-residenziale o diurno (art. 1 della legge reg. Puglia n. 13 del 2023). A tal fine, l’art. 4 della medesima legge regionale prevede l’installazione di sistemi di videosorveglianza quale requisito necessario a conseguire l’accreditamento istituzionale con il Servizio sanitario regionale e a ottenere o mantenere l’autorizzazione all’esercizio dell’attività da parte delle strutture private richiedenti.

L’impugnato art. 3 regola la «[i]nstallazione dei sistemi di videosorveglianza e [la] tutela della privacy».

In particolare, il legislatore regionale, oltre a stabilire che l’installazione dei sistemi di videosorveglianza sia effettuata in conformità al decreto legislativo 10 agosto 2018, n. 101, recante «Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazioni di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)», al regolamento n. 679/2016/UE, nonché alla Convenzione delle Nazioni Unite sui diritti delle persone con disabilità fatta a New York il 13 dicembre 2006, ratificata e resa esecutiva con legge 3 marzo 2009, n. 18, introduce alcune puntuali previsioni, riguardanti: l’installazione dei sistemi di videosorveglianza, che deve avvenire con modalità atte a garantire la sicurezza dei dati trattati e la loro protezione da accessi abusivi; la necessità che l’attivazione degli impianti sia preceduta dall’acquisizione del consenso degli ospiti o dei loro tutori; l’esigenza di una adeguata segnalazione dei sistemi di videosorveglianza a tutti i soggetti che accedono all’area interessata; l’esecuzione delle registrazioni, che deve essere effettuata in modalità criptata; la visione delle registrazioni stesse, che viene riservata esclusivamente all’autorità giudiziaria.

2.– Il Presidente del Consiglio dei ministri ritiene che la disposizione si ponga in contrasto con tre parametri costituzionali.

2.1.– Anzitutto, l’art. 3 invaderebbe la materia «ordinamento civile», di cui all’art. 117, secondo comma, lettera l), Cost., poiché detterebbe una disciplina concernente il trattamento dei dati personali, ambito che questa Corte avrebbe già ascritto alla citata competenza legislativa esclusiva dello Stato (viene richiamata in proposito la sentenza n. 271 del 2005).

La disposizione impugnata opererebbe un generico richiamo alle disposizioni del regolamento generale sulla protezione dei dati e del d.lgs. n. 101 del 2018, anziché rinviare all’intero plesso normativo di riferimento, e oltretutto evocherebbe le citate fonti con riguardo alla sola fase di installazione del sistema di videosorveglianza.

La disciplina regionale alluderebbe poi alla mera necessità del consenso degli ospiti (o dei tutori), senza indicare le modalità con cui il consenso deve essere prestato, né i caratteri che deve presentare; così come non sarebbero regolati i tempi di conservazione delle videoriprese.

Inoltre, l’art. 3 trascurerebbe del tutto la posizione dei lavoratori e le garanzie loro assicurate dalla disciplina statale con l’art. 4 della legge 20 maggio 1970, n. 300 (Norme sulla tutela della libertà e dignità dei lavoratori, della libertà sindacale e dell’attività sindacale nei luoghi di lavoro e norme sul collocamento), che regola le condizioni di ammissibilità dei controlli a distanza dei lavoratori sul luogo di lavoro.

Ne deriverebbe una violazione anche del principio di proporzionalità, in quanto si farebbe ricorso a uno strumento di monitoraggio particolarmente invasivo senza che sia dimostrato che esso risulti sempre quello più adeguato.

In generale, secondo il ricorrente, la Regione sarebbe intervenuta «in un ambito riservato al legislatore statale cui spett[erebbe] il bilanciamento [degli] interessi giuridici in gioco».

Da ultimo, il ricorso rinviene ulteriori indici della competenza esclusiva statale sia nell’art. 5-septies, comma 2, del decreto-legge 18 aprile 2019, n. 32 (Disposizioni urgenti per il rilancio del settore dei contratti pubblici, per l’accelerazione degli interventi infrastrutturali, di rigenerazione urbana e di ricostruzione a seguito di eventi sismici), convertito, con modificazioni, nella legge 14 giugno 2019, n. 55, che prevede un fondo destinato a finanziare l’installazione dei sistemi di videosorveglianza a circuito chiuso presso le strutture di residenza e cura degli anziani, sia nell’art. 4, comma 2, lettera r), della legge 23 marzo 2023, n. 33 (Deleghe al Governo in materia di politiche in favore delle persone anziane), che annovera la presenza di sistemi di videosorveglianza a circuito chiuso fra i criteri di accreditamento e autorizzazione di tali strutture (la delega conferita al Governo dall’art. 4 appena citato è stata esercitata, in epoca successiva al ricorso statale, con l’art. 31 del decreto legislativo 15 marzo 2024, n. 29, recante «Disposizioni in materia di politiche in favore delle persone anziane, in attuazione della delega di cui agli articoli 3, 4 e 5 della legge 23 marzo 2023, n. 33»).

2.2.– Quanto alla materia «ordinamento penale», ad avviso dell’Avvocatura, la disposizione impugnata si limiterebbe ad attribuire all’autorità giudiziaria la competenza all’accesso alle videoriprese, senza individuare l’intero plesso normativo di riferimento, da rinvenirsi anche nel decreto legislativo 18 maggio 2018, n. 51, recante «Attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio».

2.3.– Infine, a fronte di una disciplina del trattamento dei dati personali prevalentemente regolata da fonti dell’Unione europea, il Presidente del Consiglio dei ministri lamenta la violazione anche dell’art. 117, primo comma, Cost., in relazione al regolamento n. 679/2016/UE e alla direttiva 2016/680/UE.

3.– La Regione Puglia si è costituita in giudizio con atto depositato il 20 settembre 2023.

3.1.– In rito, solleva tre eccezioni.

3.1.1.– Con la prima, contesta che nella delibera del Consiglio dei ministri non vi sarebbe alcun riferimento all’art. 117, primo comma, Cost. e alla violazione dei parametri sovranazionali.

La difesa regionale fa pertanto valere, rispetto al citato parametro, la ritenuta eccedenza della censura contenuta nel ricorso rispetto alla volontà dell’organo politico (sono richiamate in proposito le sentenze n. 147 del 2022 e n. 109 del 2018 di questa Corte).

3.1.2.– Con la seconda eccezione di inammissibilità, concernente la questione sollevata in riferimento all’art. 117, secondo comma, lettera l), Cost., con riguardo alla materia «ordinamento civile», la Regione Puglia rileva il mancato riferimento a norme interposte e, ancor prima, una inadeguata individuazione della specifica materia rientrante nell’alveo della menzionata competenza.

3.1.3.– Infine, la difesa regionale adduce l’inconferenza di tutti parametri costituzionali evocati, osservando che una disciplina relativa l’installazione degli impianti di videosorveglianza afferirebbe alla materia «ordine pubblico e sicurezza» (art. 117, secondo comma, lettera h) o, in subordine, alla «tutela della salute», materia attribuita dal terzo comma dell’art. 117 Cost. alla competenza legislativa concorrente delle regioni.

3.2.– Nel merito, la Regione Puglia sostiene la non fondatezza delle questioni sollevate, sottolineando come la disposizione impugnata si inquadri nell’ambito di una legge regionale che nasce in conseguenza «di gravissimi episodi di maltrattamento e di abuso riportati dalle cronache che riferiscono di anziani e disabili che all’interno delle strutture sociosanitarie o assistenziali hanno subito inaccettabili violenze fisiche e psicologiche».

In simile contesto, l’impugnato art. 3 introdurrebbe un obbligo di installazione di sistemi di videosorveglianza, allo scopo di prevenire i maltrattamenti e per individuarne gli autori. La previsione corrisponderebbe, al contempo, all’interesse degli operatori sociosanitari che svolgono il proprio lavoro con impegno e correttezza e la cui immagine e professionalità sarebbero lese dalle condotte di colleghi irresponsabili.

La Regione Puglia aggiunge che, ai sensi dell’art. 4 della stessa legge regionale, l’installazione degli impianti di videosorveglianza entra a far parte dei requisiti delle strutture private per ottenere l’accreditamento presso il Servizio sanitario regionale, nonché per conseguire o mantenere l’autorizzazione all’esercizio delle attività.

Questo, oltre a confermare l’ascrivibilità della disposizione impugnata alla materia «tutela della salute», dimostrerebbe la mancata interferenza con l’àmbito materiale del trattamento dei dati personali, anche perché non sarebbe stata introdotta «una nuova disciplina» in materia, essendo «richiama[ta] espressamente la normativa statale e comunitaria sul punto».

Dopo aver evocato alcuni passaggi della sentenza di questa Corte n. 271 del 2005, dai quali, a suo avviso, si comprenderebbe come non sussista una incompetenza del legislatore regionale a disciplinare il trattamento dei dati personali, quando siano integralmente rispettate le norme statali sulla loro protezione, la difesa regionale passa in rassegna i vari profili oggetto di impugnazione, sottolineando per ciascuno di essi la ritenuta conformità alle norme contenute nel regolamento n. 679/2016/UE e nel decreto legislativo 30 giugno 2003, n. 196, recante «Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE».

Quanto alla omessa menzione del d.lgs. n. 51 del 2018, la Regione sostiene che tale disciplina riguarderebbe il trattamento dei dati personali delle persone fisiche da parte delle autorità competenti, a fini penalistici, e si collocherebbe, pertanto, al di fuori del perimetro applicativo dell’art. 3 impugnato.

Né la disposizione oggetto di scrutinio contrasterebbe con il d.l. n. 32 del 2019, come convertito, o con la legge di delega n. 33 del 2023, posto che, al contrario, tali normative mostrerebbero un «favore per l’adozione, da parte delle strutture ivi indicate, di sistemi di videosorveglianza per la medesima finalità di tutela, consacrata nell’art. 1 della legge regionale 13/2023 in disamina, ed in tale quadro normativo ben si incaston[erebbe] allora la norma inopinatamente impugnata, che riprende a livello regionale quanto già previsto a livello statale».

Da ultimo, la difesa regionale rammenta che anche la Regione Lombardia avrebbe normato nel medesimo settore e negli stessi termini adottati dalla legislazione pugliese, senza, tuttavia, suscitare alcuna impugnativa da parte statale.

4.– Successivamente, in data 27 febbraio 2024, la Regione Puglia ha depositato una memoria integrativa, con la quale ha reiterato le eccezioni di rito e di merito già proposte in sede di costituzione.

5.– All’udienza del 20 marzo 2024, l’Avvocatura generale dello Stato e la difesa regionale hanno insistito per l’accoglimento delle conclusioni rassegnate negli scritti difensivi.

Considerato in diritto

1.– Con ricorso iscritto al n. 25 reg. ric. 2023, depositato il 18 agosto 2023, il Presidente del Consiglio dei ministri, rappresentato e difeso dall’Avvocatura generale dello Stato, ha promosso questioni di legittimità costituzionale dell’art. 3 della legge reg. Puglia n. 13 del 2023, per violazione dell’art. 117, secondo comma, lettera l), Cost. con riguardo alle materie «ordinamento civile» e «ordinamento penale», nonché per violazione dell’art. 117, primo comma, Cost., in relazione al regolamento n. 679/2016/UE e alla direttiva 2016/680/UE.

1.1.– L’impugnato art. 3 regola la «[i]nstallazione dei sistemi di videosorveglianza e [la] tutela della privacy», con cinque commi che, oltre a prevedere il rispetto – nella sola fase dell’installazione – del d.lgs. n. 101 del 2018, del regolamento n. 679/2016/UE e della Convenzione delle Nazioni Unite sui diritti delle persone con disabilità, dettano specifiche prescrizioni concernenti la raccolta e il trattamento dei dati personali.

2.– Il Presidente del Consiglio dei ministri ritiene che le norme si pongano in contrasto con tre parametri costituzionali.

2.1.– Anzitutto, l’art. 3 violerebbe l’art. 117, secondo comma, lettera l), Cost., invadendo la materia, di esclusiva competenza legislativa statale, «ordinamento civile», alla quale sarebbe ascrivibile il trattamento dei dati personali.

La disciplina impugnata, da un lato, opererebbe un rinvio limitato solo ad alcune fonti previste dal legislatore statale e con riferimento alla mera fase di installazione del sistema di videosorveglianza, e, da un altro lato, introdurrebbe puntuali prescrizioni, il cui implicito effetto sarebbe quello di derogare alla complessiva regolamentazione della materia disposta dal legislatore statale competente.

2.2.– Di seguito, secondo il Presidente del Consiglio dei ministri, sarebbe altresì violata la materia «ordinamento penale», di cui al medesimo art. 117, secondo comma, lettera l), Cost., in quanto l’art. 3, comma 5, della legge reg. Puglia n. 13 del 2023 attribuirebbe all’autorità giudiziaria il compito di accedere alle videoriprese, senza individuare l’intero plesso normativo di riferimento, da rinvenirsi anche nel d.lgs. n. 51 del 2018.

2.3.– Infine, il ricorso lamenta anche la violazione dell’art. 117, primo comma, Cost., in relazione al regolamento n. 679/2016/UE e alla direttiva 2016/680/UE.

3.– La Regione Puglia si è costituita in giudizio, sollevando tre eccezioni di inammissibilità e chiedendo nel merito il rigetto del ricorso.

3.1.– Con la prima eccezione di rito, la Regione contesta l’eccedenza della censura contenuta nel ricorso rispetto alla volontà dell’organo politico, assumendo che nella delibera del Consiglio dei ministri non vi sarebbe alcun riferimento all’art. 117, primo comma, Cost. e alla violazione dei parametri sovranazionali.

3.1.1.– L’eccezione non è fondata.

Una piana lettura della delibera del Consiglio dei ministri palesa come l’organo politico ravvisi nell’art. 3 della legge reg. Puglia n. 13 del 2023 una disciplina che si porrebbe «in contrasto con i vincoli derivanti dall’ordinamento comunitario in riferimento alle disposizioni del Regolamento (UE) n. 2016/679 (cfr. art. 117, comm[a] primo […], Cost.» (pagina 12 della delibera).

È, dunque, evidente che l’organo politico ha manifestato la volontà di censurare la violazione dei «vincoli derivanti dall’ordinamento comunitario», di cui all’art. 117, primo comma, Cost.

3.2.– La seconda eccezione di inammissibilità attiene all’asserita mancanza, nel ricorso statale, di riferimenti alle norme interposte e, ancor prima, l’omessa esatta individuazione della materia specifica rientrante nell’ordinamento civile.

3.2.1.– Anche questa eccezione va disattesa.

A prescindere dall’improprio utilizzo della locuzione “norma interposta” per una competenza legislativa statale esclusiva, è comunque agevole osservare che il ricorso contiene il riferimento a numerose norme di livello primario che costituirebbero espressione di tale competenza nel settore del trattamento dei dati personali. Inoltre, attraverso il richiamo ai contenuti della sentenza di questa Corte n. 271 del 2005, il Presidente del Consiglio dei ministri ha adeguatamente specificato in che termini e per quali ragioni l’oggetto della disposizione regionale impugnata rientrerebbe nella materia «ordinamento civile».

3.3.– Infine, con una terza eccezione di rito, la Regione Puglia sostiene l’inesatta individuazione del parametro costituzionale violato, che non combacerebbe con quelli di cui il ricorrente lamenta la lesione, posto che l’ambito normato dall’art. 3 della legge reg. Puglia n. 13 del 2023 sarebbe, viceversa, ascrivibile all’art. 117, secondo comma, lettera h), Cost., con riguardo alla materia «ordine pubblico e sicurezza», o, in subordine, alla competenza legislativa regionale concorrente nella materia «tutela della salute», di cui all’art. 117, terzo comma, Cost.

3.3.1.– L’eccezione non è fondata.

Secondo la giurisprudenza di questa Corte, l’eventuale «inconferenza del parametro indicato dal ricorrente rispetto al contenuto sostanziale della doglianza costituisce motivo di non fondatezza della questione (sentenze n. 132 del 2021 e n. 286 del 2019)» (di recente sentenze n. 163 e n. 53 del 2023), sicché l’eccezione attiene al merito e non al rito.

4.– Nel merito, le questioni sollevate in riferimento all’art. 117, secondo comma, lettera l), Cost., con riguardo alla materia «ordinamento civile», e all’art. 117, primo comma, Cost., in relazione al regolamento n. 679/2016/UE, sono fondate.

5.– Come questa Corte ha già avuto modo di precisare, la protezione delle persone con riguardo al trattamento dei dati personali afferisce alla materia «ordinamento civile», sia per quanto concerne le norme sostanziali, che disciplinano le modalità di raccolta e il trattamento dei dati personali, sia per quanto riguarda le «tutele giurisdizionali delle situazioni soggettive del settore» (sentenza n. 271 del 2005; in senso analogo, anche sentenza n. 177 del 2020). Tali profili attengono, infatti, al «riconoscimento di una serie di diritti alle persone fisiche e giuridiche relativamente ai propri dati, diritti di cui sono regolate analiticamente caratteristiche, limiti, modalità di esercizio, garanzie, forme di tutela in sede amministrativa e giurisdizionale» (ancora sentenza n. 271 del 2005).

Al contempo, l’Unione europea, nell’esercizio della sua competenza in materia di protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale e di libera circolazione dei dati (art. 16 del Trattato sul funzionamento dell’Unione europea), ha ampiamente regolamentato la materia, lasciando limitati spazi alla normazione degli Stati membri.

L’attuale disciplina della protezione dei dati personali si compone, pertanto, di una complessa trama di fonti, il cui fulcro è rappresentato dalla normativa eurounitaria di carattere generale affidata al regolamento n. 679/2016/UE, che trova completamento e integrazione nelle fonti nazionali, a partire dal d.lgs. n. 196 del 2003 (come modificato e integrato) e dal d.lgs. n. 101 del 2018, che ha coordinato le disposizioni nazionali vigenti in materia di protezione dei dati personali con il regolamento generale sulla protezione dei dati (sentenza n. 260 del 2021). Né mancano discipline di settore, quale la direttiva n. 680/2016/UE, cui il legislatore nazionale ha dato attuazione con il d.lgs. n. 51 del 2018.

Dalle richiamate fonti si evince una regolamentazione della videosorveglianza che scandisce molteplici fasi: dalle condizioni che consentono l’installazione, agli strumenti e alle modalità di raccolta dei dati; dalla informativa preventiva, al consenso dei titolari dei dati che vengono raccolti; dal successivo trattamento dei dati, all’accesso ai supporti contenenti questi ultimi e alla loro utilizzazione.

In particolare, la videosorveglianza presso le strutture socio-sanitarie e socio-assistenziali investe due campi d’azione particolarmente delicati: da un lato, determina un monitoraggio che comprende la raccolta e il trattamento di dati sensibili relativi a persone anziane, malate o disabili, con inevitabili ricadute sulla riservatezza e sulla dignità di persone fragili; da un altro lato, implica un controllo sull’attività lavorativa del personale operante all’interno delle strutture (medici, infermieri, operatori socio-sanitari e socio-assistenziali, personale amministrativo, addetti alle pulizie e altri) e di eventuali lavoratori esterni, la cui attività si svolge, in tutto o in parte, presso le strutture medesime.

Da ultimo, non può tacersi il rilievo che, nella disciplina della materia, rivestono i provvedimenti del Garante per la protezione dei dati personali (Sezione II, Capo VI, del regolamento n. 2016/679/UE), a partire dal provvedimento di carattere generale in materia di videosorveglianza, adottato l’8 aprile 2010, e dal provvedimento del 22 febbraio 2018, che contiene le indicazioni preliminari volte a favorire la corretta applicazione delle disposizioni del regolamento n. 679/2016/UE.

6.– A fronte della complessità e ampiezza dei profili implicati nel trattamento dei dati personali, che richiedono delicati bilanciamenti fra diritti spesso di rango inviolabile, l’intervento della Regione vìola i vincoli derivanti dall’UE e invade la competenza legislativa esclusiva spettante allo Stato, in quanto si sovrappone con proprie previsioni autonome e con un rinvio selettivo al delicato intreccio di fonti dettate dall’Unione europea e dallo Stato.

6.1.– Come si inferisce, infatti, sin dalla sua rubrica, l’art. 3 regola l’«[i]nstallazione dei sistemi di videosorveglianza e [la] tutela della privacy».

La disciplina si articola in cinque commi che, oltre a prevedere – con riferimento alla sola fase dell’installazione – il rispetto del d.lgs. n. 101 del 2018, del regolamento n. 679/2016/UE, nonché della Convenzione delle Nazioni Unite sui diritti delle persone con disabilità (comma 3), stabiliscono le seguenti puntuali prescrizioni:

«1. Le strutture private adibite all’attività di cui all’articolo 1 provvedono autonomamente all’installazione delle telecamere a circuito chiuso e ne danno comunicazione alle aziende sanitarie locali in caso di strutture socio-sanitarie e socio-assistenziali.

2. I sistemi di videosorveglianza a circuito chiuso di cui al comma 1 devono essere installati con modalità atte a garantire la sicurezza dei dati trattati e la loro protezione da accessi abusivi. Nelle strutture di cui all’articolo 1 è vietato l’utilizzo di webcam.

3. […] Per l’attivazione è necessario acquisire il consenso degli ospiti o dei loro tutori.

4. La presenza dei sistemi di videosorveglianza è inoltre adeguatamente segnalata a tutti i soggetti che accedono all’area video sorvegliata.

5. Le registrazioni sono effettuate in modalità criptata e possono essere visionate esclusivamente dall’autorità giudiziaria, a seguito di segnalazioni da parte dei soggetti interessati, familiari o degenti».

6.2.– Una tale disciplina non può essere ricondotta – come invece sostiene la difesa della Regione Puglia – all’esercizio della competenza legislativa regionale concorrente nella materia «tutela della salute».

Simile affermazione si potrebbe comprendere, ove riferita all’art. 4 della medesima legge reg. Puglia n. 13 del 2023, che prevede l’installazione degli impianti di videosorveglianza quale requisito ai fini dell’accreditamento o dell’autorizzazione all’esercizio delle attività socio-sanitarie e socio-assistenziali, disposizione che trova corrispondenza anche in quanto disposto a livello statale sia dall’art. 31, comma 7, lettera d), del d.lgs. n. 29 del 2024, che ha attuato l’art. 4, comma 2, lettera r), della legge n. 33 del 2023, annoverando la previsione di sistemi di videosorveglianza a circuito chiuso fra i criteri per l’accreditamento e l’autorizzazione di strutture socio-sanitarie e socio-assistenziali per anziani, sia dall’art. 5-septies, comma 2, del d.l. n. 32 del 2019, come convertito, che istituisce un fondo destinato a finanziare l’installazione dei sistemi di videosorveglianza a circuito chiuso presso le strutture di residenza e cura degli anziani

Viceversa, la competenza legislativa concorrente nella materia «tutela della salute» non è in alcun modo pertinente rispetto all’art. 3. Infatti, tale competenza può consentire alla Regione di prevedere un onere concernente l’installazione di impianti di videosorveglianza, al più evocando – tramite un rinvio mobile – il doveroso rispetto di tutta la disciplina dettata dall’Unione europea e dallo Stato nel campo della videosorveglianza e del trattamento dei dati personali, ma certo non autorizza la Regione a operare una cernita delle fonti rilevanti e a dettare essa stessa le regole concernenti i citati ambiti.

6.2.1.– L’invasione della competenza legislativa statale si rileva già solo in presenza di una novazione delle fonti (di recente, sentenza n. 239 del 2022 e, nella materia «ordinamento civile», sentenze n. 153 del 2021 e n. 234 del 2017), che nel tempo sono suscettibili di modificazioni e integrazioni da parte dei legislatori competenti.

6.2.2.– Inoltre, e soprattutto, non spetta alla Regione operare una selezione di fonti e di regole – quale emerge nella disciplina in esame – che, all’interno dell’articolato plesso normativo contemplato sia dall’Unione europea sia dal legislatore statale, sono chiamate a disciplinare questa complessa e delicata materia.

In tal modo, la Regione non solo si sovrappone alle normative eurounitaria e statale, travalicando le proprie competenze, ma oltretutto effettua una arbitraria scelta, il cui contenuto precettivo equivale a ritenere vincolanti le sole regole individuate dal legislatore regionale e non anche le altre.

6.2.2.1.– Non è innocuo, in tale prospettiva, che l’art. 3 abbia individuato, quali fonti da rispettare, il d.lgs. n. 101 del 2018, il regolamento n. 679/2016/UE e la Convenzione delle Nazioni Unite sui diritti delle persone con disabilità, così escludendo il d.lgs. n. 196 del 2003 e le altre fonti, emanate dall’UE e attuate dal legislatore statale.

In particolare, quanto al d.lgs. n. 196 del 2003, esso è tuttora vigente e le sue previsioni sono state solo in parte abrogate o modificate dal d.lgs. n. 101 del 2018, che ha operato opportuni raccordi con il regolamento n. 679/2016/UE (così la sentenza n. 260 del 2021).

Fra le previsioni del citato codice della privacy è doveroso, in particolare, richiamare l’art. 114, secondo cui: «[r]esta fermo quanto disposto dall’articolo 4 della legge 20 maggio 1970, n. 300», il quale detta le condizioni che consentono l’installazione di impianti audiovisivi «dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori», vale a dire proprio la fattispecie regolata dal legislatore regionale.

6.2.2.2.– Quanto alla raccolta e al trattamento dei dati personali, la disposizione impugnata, da un lato, opera un richiamo al regolamento n. 679/2016/UE e al d.lgs. n. 101 del 2018 riferendosi alla sola fase dell’installazione della videosorveglianza e, da un altro lato, entra nel vivo della disciplina sul trattamento dei dati personali, prevedendo che sia acquisito il consenso degli ospiti o dei loro tutori (art. 3, comma 3, della legge reg. Puglia n. 13 del 2023) e che l’installazione sia genericamente effettuata con modalità che garantiscano la sicurezza dei dati e la loro protezione da accessi abusivi (art. 3, comma 2).

Ma, di nuovo, la selezione di fonti e di regole applicabili non prende in considerazione l’imponente corpo normativo che, in ambito eurounitario e statale, oltre a richiedere di regola il consenso di tutti coloro i cui dati vengono trattati (artt. 6 e 7 del regolamento n. 679/2016/UE, nonché art. 9 dello stesso regolamento rispetto ai dati sensibili), disciplina dettagliatamente: l’informativa; le modalità di raccolta del consenso e le sue caratteristiche; le cautele richieste in ordine ai dati sensibili; il trattamento dei dati successivo alla raccolta, a partire dalla durata e dalle modalità di conservazione dei dati; la garanzia per i titolari dei dati raccolti di poter accedere agli stessi e di poterne bloccare la diffusione. Né può tacersi che, nella scansione delle varie fasi del trattamento dei dati personali, le fonti emanate dai legislatori competenti riconoscono ai loro titolari specifiche situazioni giuridiche soggettive (a essere informati, a manifestare o revocare il consenso alla raccolta e al trattamento dei dati, a opporsi alla loro divulgazione, a prendere visione dei dati raccolti), che si riflettono su altrettanti strumenti di tutela.

6.2.2.3.– Analogamente, anche i commi 1 e 4 dell’art. 3 della legge reg. Puglia n. 13 del 2023 – che prevedono, rispettivamente, l’autonoma installazione delle telecamere da parte delle strutture private, con mera comunicazione alle aziende sanitarie locali, nonché una semplice segnalazione dei sistemi di videosorveglianza a tutti i soggetti che accedono all’area – disattendono il necessario rispetto di tutte le fonti eurounitarie e statali, comprese le dettagliate prescrizioni richieste dal già citato provvedimento generale del Garante per la protezione dei dati personali dell’8 aprile 2010.

6.3.– In sostanza – come questa Corte ha già avuto modo di puntualizzare (sentenza n. 271 del 2005) – il contrasto con i vincoli derivanti dall’UE e con la competenza legislativa statale esclusiva emerge tanto a fronte di rinvii parziali, quanto in presenza di una disciplina puntuale che individui solo una limitata porzione di regole, trascurando le altre che sono oggetto della fitta disciplina eurounitaria e statale.

7.– In conclusione, l’art. 3 della legge reg. Puglia n. 13 del 2023 è costituzionalmente illegittimo per contrasto con l’art. 117, primo comma, Cost., in relazione al regolamento n. 679/2016/UE e alla direttiva 2016/680/UE, e con l’art. 117, secondo comma, lettera l), Cost., con riguardo alla materia «ordinamento civile».

È assorbita ogni ulteriore censura.

8.– Resta fermo che l’accoglimento delle questioni sollevate sull’art. 3 non incide sull’onere di installare impianti di videosorveglianza, previsto dall’art. 4 della stessa legge reg. Puglia n. 13 del 2023, e che l’installazione debba essere effettuata nel pieno rispetto di tutte le previsioni dettate dall’Unione europea e dal legislatore statale, nel campo della videosorveglianza e del trattamento dei dati personali.

Per Questi Motivi

LA CORTE COSTITUZIONALE

dichiara l’illegittimità costituzionale dell’art. 3 della legge della Regione Puglia 15 giugno 2023, n. 13, recante «Disposizioni per prevenire e contrastare condotte di maltrattamento o di abuso, anche di natura psicologica, in danno di anziani e persone con disabilità e modifica alla legge regionale 9 agosto 2006, n. 26 (Interventi in materia sanitaria)».

Così deciso in Roma, nella sede della Corte costituzionale, Palazzo della Consulta, il 20 marzo 2024.

F.to:

Augusto Antonio BARBERA, Presidente

Emanuela NAVARRETTA, Redattrice

Roberto MILANA, Direttore della Cancelleria

Depositata in Cancelleria il 23 aprile 2024

Il Direttore della Cancelleria

F.to: Roberto MILANA