Trasparenza e tutela dei dati personali nella Pubblica Amministrazione

Quale può essere il conflitto che nasce tra trasparenza e tutela dei dati personali all’interno della Pubblica Amministrazione? Ne abbiamo parlato con l’Avv. Giovanni Battista Gallus

Nell’ambito della Pubblica Amministrazione assume sempre di più rilevanza la problematica rappresentata dal possibile conflitto che nasce tra trasparenza e tutela dei dati personali.

Di fatto, da un lato abbiamo il concetto di informazione, che si realizza attraverso l’accesso alla documentazione amministrativa che serve anche, ma non solo, a monitorare la trasparenza e l’imparzialità dell’azione amministrativa; dall’altro abbiamo, invece, il concetto legato alla riservatezza dei soggetti terzi  e alla protezione dei dati personali.

Abbiamo parlato, a questo proposito, con l’Avvocato Giovanni Battista Gallus per approfondire questa tematica sempre più importante per le Pubbliche Amministrazioni.

Le principali difficoltà che la PA incontra nell’adempiere correttamente alla pubblicazione dei dati sui contratti pubblici

Ci sono una serie di difficoltà di carattere organizzativo e una serie di difficoltà di carattere normativo, afferenti sia alla modificazione nel tempo delle norme in tema di obbligo di pubblicazione dei dati sui contratti pubblici, sia al trattamento dei dati personali.

Partendo dalla questione di carattere normativo, la disciplina in materia di contratti pubblici ha subito, dalla Legge Anticorruzione 190/2012 in poi, una serie di modifiche che hanno inciso anche su quella che è l’attività di pubblicazione dei dati da parte delle Pubbliche Amministrazioni. Di fatto, la pubblicazione dei dati si è “stabilizzata” a partire dal 2016 con la penultima riforma in tema di Amministrazione Trasparente, che ha portato con sé il richiamo diretto dalla normativa in tema di Amministrazione Trasparente a quella sui contratti pubblici con l’art. 29 del Dlgs n. 50/2016.

Anche la situazione emergenziale nata dalla pandemia del covid-19 che stiamo vivendo adesso ha, di fatto, inciso particolarmente su alcuni degli atti che le Pubbliche Amministrazioni sono tenute a pubblicare, in particolare ci riferiamo ai provvedimenti di esclusione e alle ammissioni all’esito della verifica della documentazione .

Nonostante le Linee guida ANAC aiutino le PA a capire quali siano quelli da pubblicare e come pubblicarli, tutte le modifiche sopracitate hanno creato dell’incertezza su quella che è l’attività da fare in materia di pubblicazione dei dati.

Considerando, invece, le difficoltà di tipo organizzativo, è chiaro che una vasta mole di dati come questa presuppone che il flusso antecedente alla pubblicazione sia ben organizzato e che le Pubbliche Amministrazioni non debbano fare delle operazioni manuali, in maniera tale che tutto il flusso sia sotto il controllo degli operatori e le pubblicazioni dei dati diventino automatizzate.

La complessità di questo processo deriva anche dal fatto che il flusso documentale delle Pubbliche Amministrazioni continua ad essere legato al concetto di “documento monolitico” e non a quello di “creazione di dati”; la mancanza di una consapevolezza simile da parte delle PA provoca dei problemi legati, chiaramente, a quella che sarà la pubblicazione finale dei dati.

Un fattore da sottolineare è che tutti gli obblighi di pubblicazione sono sempre senza oneri a carico della Finanza Pubblica e, per questo motivo, un’ulteriore complicazione nasce dalla gestione della scarsità di risorse in grado di gestire l’attività e ottemperare, dunque, agli obblighi previsti nel miglior modo possibile.

Ultima complessità che le Pubbliche Amministrazioni devono affrontare è quella riguardante il trattamento dei dati personali.

Il rapporto tra trasparenza e trattamento dei dati personali è piuttosto complesso ma, lato contratti pubblici, è necessario sottolineare almeno due facilitazioni: da un lato i dati che riguardano le persone giuridiche non vengono considerati come dati personali e, dall’altro lato, è la normativa stessa che aiuta le Pubbliche Amministrazioni consigliando non solo quali atti pubblicare, ma anche quali dati pubblicare.

Gestione degli obblighi di trasparenza e la tutela dei dati personali: lo stato dell’arte

Per affrontare questa questione è innanzitutto importante segnalare il sito del Garante per la protezione dei dati personali e andare a vedere, nella sezione provvedimenti, la parte riguardante le sanzioni amministrative.

In questa sezione, infatti, è possibile vedere come la non corretta diffusione dei dati personali sia nella maggior parte dei casi oggetto delle sanzioni. Da sottolineare è il fatto che questo tipo di sanzioni riguardano quasi sempre i dati pubblicati all’interno degli Albi Pretori delle Pubbliche Amministrazioni, anziché quelli pubblicati all’interno della sezione Amministrazione Trasparente.

Le Pubbliche Amministrazioni in questo caso, per non essere soggette a sanzioni, dovrebbero adottare dei regolamenti specifici in maniera operativa in modo da entrare nel dettaglio dei singoli atti, senza limitarsi a replicare, sostanzialmente, quelle che sono le linee guida del Garante del 2014.

In questo percorso sarebbe utile organizzare la gestione del dato sin dall’inizio in modo da avere sotto controllo tutti i dati personali in possesso della Pubblica Amministrazione sin dalla prima generazione del dato che si vuole pubblicare ed evitare errori di questo tipo.

Molto spesso gli errori di pubblicazione non riguardano gli atti principali, ma riguardano gli allegati; questo accade perché molto spesso gli allegati sono dei documenti molto corposi in cui si possono trovare elenchi di persone che, inevitabilmente, presentano anche i dati personali dei singoli soggetti coinvolti non pertinenti con la pubblicazione dei dati.

Invalidazione del privacy shield sul trasferimento dei dati personali: cosa succederà nell’ambito pubblico?

L’invalidazione del privacy shield, nel caso dell’ambito pubblico, ha imposto la revisione, da parte delle Pubbliche Amministrazioni, di tutti i casi in cui si è affidato il trattamento dei dati a soggetti terzi.

Se è vero che anche prima ci si doveva porre il problema del trasferimento transfrontaliero dei dati, è anche vero che questo tipo di problematica non è stata mai presa in considerazione con l’importanza che meritava.

Con l’invalidazione del privacy shield è necessario fare una verifica puntuale per essere certi di sapere dove vanno a finire i dati e che questi ultimi rimangano, di fatto, all’interno dell’Unione Europea.

La situazione, in particolare, interessa le Pubbliche Amministrazioni che si avvalgono dell’utilizzo di cloud provider – soprattutto se negli Stati Uniti – o di applicazioni che fungono da connettore tra la PA e i cittadini che, in alcuni casi, trattano dati  particolari come, ad esempio, i dati sanitari del singolo individuo.

Altro punto fondamentale da tenere in considerazione in questo contesto è l’uso che le Pubbliche Amministrazioni fanno dei social media e della messaggistica istantanea volto a creare un rapporto diretto con i cittadini. Tuttavia, molte applicazioni di messaggistica istantanea provocano un flusso transfrontaliero di dati personali che è difficilmente conciliabile con la regolamentazione stabilita dall’invalidazione del privacy shield.

Trattamento dei dati personali e rapporto coi cittadini

Fatte queste premesse, è giusto chiedersi come può, in questo caso, una Pubblica Amministrazione continuare a mantenere un rapporto stabile con i cittadini, trattando i loro dati personali secondo quanto prescritto dalla normativa.

In primo luogo bisogna partire da una strategia che permetta, una volta scelti i canali adeguati, di assicurare agli utenti che i loro dati rimangano all’interno dell’Unione Europea.

In secondo luogo è andare a valutare quale sia l’impatto.

Prendendo come esempio concreto la messaggistica istantanea, sarà compito dell’Amministrazione, in questo caso, valutare quali saranno i dati che verranno condivisi all’interno delle chat e, soprattutto, rendersi promotrice di sistemi di messaggistica istantanea che non hanno problemi di trasferimento transfrontaliero di dati utilizzando, ad esempio, sistemi come Signal, suggerito dalla stessa Unione Europea.