da Il Sole 24 ore del 25.1.99

A due anni dalla sua approvazione la legge sulla tutela dei dati personali continua a sollevare polemiche, talvolta motivate, talaltra senza reale fondamento. Ciò è dovuto,in larga misura, a due fattori convergenti: la vastità del suo campo di applicazione e la mancata conoscenza del suo contenuto.
Una legge “universale”: in ossequio alla Direttiva comunitaria disciplina praticamente tutti i trattamenti di “dati”. E “dato”, per definizione, è qualsiasi rappresentazione della realtà che coinvolga una persona fisica o giuridica. Si rivolge praticamente a tutti, con l’esclusione dei trattamenti a fini personali, e dunque a praticamente tutti gli italiani. E’ difficile immaginare una legge che incida in maniera così vasta su tutta la popolazione e tutti gli enti italiani, i quali o “trattano” dati oppure sono “trattati”: forse solo quella in base alla quale si registrano le nascite ed i decessi, ma per fortuna si nasce (e si muore) una sola volta, mentre i dati cambiano e possono essere trattati infinite volte durante la vita. Ci si potrebbe dunque meravigliare per l’opposto, e cioè che i problemi sollevati siano stati, numericamente (non di importanza), così pochi.  Una legge a “maglie larghe”: dovendo disciplinare un numero cosi elevato di soggetti e di ipotesi, le regole fissate dalla L.675/96 sono inevitabilmente o molto ampie (e dunque devono essere adattate al caso concreto), oppure, quando sono più precise, incontrano subito un bel numero di casi che fanno sorgere dubbi e contrasti. Si tratta di un difetto congenito con la nozione stessa di legge, intesa come comando generale ed astratto. In realtà quel che era previsto era che i vuoti venissero colmati attraverso l’attuazione delle numerose, ed assai più particolareggiate, raccomandazioni del Consiglio d’Europa che si occupano dei più importanti settori di trattamento. Ciò è avvenuto solo in maniera assai parziale e indiretta grazie all’”invenzione” delle “autorizzazioni generali” che riguardano la maggior parte dei dati sensibili.
D’altra parte negando al Garante — come ha fatto la Corte dei Conti —un sia pur modesto potere regolamentare gli si è impedito di rendere più duttili e tagliate “su misura” le tante disposizioni generali. Sembra sfuggire che in questo settore — più ancora che in altri — sia necessario operare attraverso strumenti flessibili, in particolare di “soft-law” esercitando un ruolo di “moral suasion” che rientra, tipicamente,fra le funzioni delle moderne Autorità amministrative indipendenti.  Ancora lontani dall’Europa: in molte delle polemiche che affiorano domina un preoccupante provincialismo, quasi che l’Italia avesse una disciplina sconosciuta ad altri Paesi. Si finisce per dimenticare che è stata la Comunità Europea ad imporci — dopo quindici anni di colpevole inerzia — di dotarci di una normativa in materia di banche-dati e che le legislazioni di altri Paesi approvate dopo la Direttiva 46/96 non sono molto diverse da quella italiana. 
Si finisce per dimenticare che da anni, in Francia (e non all’altro capo del mondo) ci si preoccupa della videosorveglianza (in banche, uffici, locali, centri abitati) e che il CNIL (l’equivalente francese del nostro Garante) ha fissato regole assai severe in proposito; o che in Svizzera vi è stata una sollevazione quando si è scoperto che Swisscom registrava la localizzazione dei titolari di telefonini mobili; o che il Trattato Europol (che abbiamo ratificato con la Legge 23 marzo 1998 n.93) fissa regole minuziose e assai rigorose per la raccolta, conservazione e comunicazione di dati da parte degli organismi di polizia; o, ancora, che il Consiglio dell’Unione Europea (e dunque i capi di Stato e di Governo dei vari Paesi membri) hanno fissato,in una Risoluzione del 17 gennaio 1995, i limiti alla intercettazione legale delle telecomunicazioni al fine di tutelare anche la riservatezza degli individui.
Non si vorrebbe proprio che in nome di una pretesa “emergenza” si perdesse di vista l’obiettivo per l’Italia, di essere un Paese “normale”, come i suoi partners.