Adunanza generale n. 514/2026 - Consiglio Di Stato, Sezione C

Schema di regolamento sul trattamento dei dati personali nell’Amministrazione penitenziaria

Il Consiglio di Stato, Sezione consultiva per gli atti normativi, ha esaminato su richiesta del Ministero della giustizia lo schema di decreto ministeriale previsto dall’art. 6-bis, comma 5, d.l. 4 luglio 2024, n. 92, convertito dalla l. 8 agosto 2024, n. 112. Lo schema riguarda il conferimento e il trattamento di dati sanitari e giudiziari relativi a detenuti maggiorenni affetti da patologie da dipendenza o da patologie psichiche diagnosticate, mediante interoperabilità tra banche dati del Ministero della salute e del Ministero della giustizia.

Base normativa e procedimenti previsti dall’art. 6-bis

L’art. 6-bis, comma 1, prevede il conferimento reciproco di dati tra il SIND, il SISM e il sistema SIAP/AFIS, per specifiche finalità indicate dalla legge. Il comma 5 demanda a un decreto del Ministro della giustizia la definizione delle categorie degli interessati, del responsabile del trattamento, delle operazioni di trattamento, dei soggetti cui i dati possono essere comunicati e delle misure appropriate e specifiche per tutelare i diritti degli interessati.

Il comma 6 prevede un distinto decreto, concertato con il Ministro della salute e adottato sentito il Garante, volto a disciplinare gli aspetti tecnici e operativi dell’interoperabilità, tra cui conservazione, accesso, autenticazione, consultazione, requisiti tecnici, sicurezza, valutazione d’impatto e modalità di esercizio dei diritti. La Sezione ha sottolineato che i due procedimenti, pur distinti, devono essere considerati in modo coordinato e organico.

Termine di adozione

Il termine di tre mesi previsto dal comma 5, decorrente dall’entrata in vigore della legge di conversione, ha natura sollecitatoria. La sua scadenza non determina quindi la perdita del potere regolamentare, alla luce dell’orientamento richiamato dalla Sezione sull’ammissibilità generale di un potere regolamentare autonomo in capo al Governo.

Incompletezza e non autoapplicatività dello schema

La Sezione ha rilevato che lo schema, nella versione trasmessa, non disciplina effettivamente numerosi elementi affidati dalla legge al regolamento. In particolare, gli artt. 5, 6 e 7 rinviano ripetutamente al futuro decreto previsto dal comma 6 dell’art. 6-bis.

Sono inoltre utilizzate formule generiche, come le “misure organizzative idonee” e le modalità che consentirebbero di collegare nel tempo le informazioni rendendo non identificabili gli interessati, senza precisare chi debba adottare le misure, con quale atto e entro quale termine. Ne deriva una disciplina frammentata, dilazionata e non autoapplicativa.

La Sezione ha criticato anche la riproduzione, negli artt. 1 e 7, del principio di minimizzazione e del rispetto della normativa nazionale ed europea, poiché tali enunciazioni non sono accompagnate da misure concrete. La mera ripetizione, in una fonte secondaria, di principi già stabiliti da fonti superiori può compromettere la gerarchia delle fonti e generare formulazioni non pienamente congruenti con la disciplina primaria o unionale.

Garanzia dei diritti degli interessati

Lo schema risulta incompleto rispetto alla definizione delle “misure appropriate e specifiche per tutelare i diritti degli interessati”. Il diritto previsto dall’art. 7, comma 3, dello schema, relativo all’accesso, alla rettifica, alla cancellazione, alla limitazione del trattamento e all’integrazione dei dati, rischia di risultare inoperante se le misure necessarie per il suo esercizio sono rinviate a un decreto futuro.

La Sezione ha evidenziato che tali diritti derivano dalla disciplina europea recepita nell’ordinamento nazionale e assumono particolare rilievo perché le finalità del trattamento sono collegate anche alla tutela del diritto alla salute garantito dall’art. 32 Cost.

Destinatari diretti e peculiarità del contesto penitenziario

I detenuti affetti dalle patologie indicate non possono essere esclusi dalla categoria dei destinatari diretti della disciplina. Pur non essendo gravati da obblighi di adeguamento, essi sono i soggetti cui si riferiscono i dati, titolari dei diritti previsti dallo schema e destinatari sostanziali delle garanzie.

La Sezione ha rimarcato la peculiarità del contesto penitenziario: il trattamento dei dati è collegato alla detenzione, alle attività sanitarie e ai programmi terapeutici, in una situazione caratterizzata dalla restrizione della libertà personale e dalla possibile interrelazione tra patologia, percorso terapeutico e vicenda penale. Le banche dati non sono strumenti neutrali, ma supportano l’attività valutativa sanitaria e quella dell’amministrazione penitenziaria e possono incidere sul rapporto terapeutico con gli interessati.

Conferimento e comunicazione dei dati

Lo schema utilizza, nei confronti del Ministero della salute, il termine “comunicazione” anziché “conferimento”. La Sezione ha ritenuto tale scelta non coerente con l’art. 6-bis, comma 1, che prevede un conferimento reciproco mediante interoperabilità.

La disciplina dovrà quindi prevedere il conferimento dei dati al Ministero della salute e dovrà riferirlo a tutte le finalità del comma 1, lettere da a) a f), compresa l’analisi dell’andamento delle misure e degli esiti dei programmi di trattamento. La comunicazione, quale operazione distinta e potenzialmente non reciproca, non può sostituire il meccanismo legislativamente previsto.

Consultazione del Garante per la protezione dei dati personali

Considerata la natura dei dati, definiti nell’ATN come “doppiamente sensibili”, la Sezione ha ritenuto necessario acquisire il parere del Garante per la protezione dei dati personali. Il parere è richiesto dall’art. 36, paragrafo 4, del regolamento (UE) 2016/679, dall’art. 24, comma 2, d.lgs. n. 51/2018 e dall’art. 154, commi 5 e 5-bis, d.lgs. n. 196/2003.

Il parere del Garante dovrà essere acquisito prima della nuova trasmissione dello schema al Consiglio di Stato, insieme alla documentazione istruttoria integrata.

AIR, relazione illustrativa e impatto finanziario

La dichiarazione ministeriale di esenzione dall’AIR fonda l’esenzione sul numero esiguo dei destinatari diretti e sul ridotto impatto dell’intervento. La Sezione ha ritenuto tale valutazione non adeguatamente motivata, perché non considera i detenuti interessati quali destinatari diretti e perché non consente di determinare l’ampiezza delle operazioni di conferimento, trattamento e comunicazione.

L’assenza dell’AIR impedisce inoltre di valutare l’impatto amministrativo e finanziario delle misure rinviate al decreto ex comma 6. La relazione tecnica richiama genericamente risorse già disponibili, mentre la dichiarazione di esenzione ammette la possibile esistenza di costi, seppur minimi e prevalentemente una tantum. Occorre quindi chiarire l’effettivo sforzo organizzativo richiesto alle amministrazioni e verificare la sostenibilità della clausola di invarianza finanziaria contenuta nell’art. 8 dello schema.

Adempimenti richiesti

La Sezione ha indicato che l’Amministrazione dovrà, alternativamente, trasmettere anche il decreto previsto dall’art. 6-bis, comma 6, assicurando il coordinamento tra i due atti, oppure integrare lo schema in modo da renderlo autonomamente applicativo. In quest’ultimo caso dovranno essere disciplinati direttamente:

• gli elementi oggetto dei rinvii al decreto ex comma 6;
• le misure organizzative idonee o i criteri per definirle;
• l’atto competente, il soggetto legittimato e il termine di emanazione delle misure;
• il rapporto tra misure organizzative e misure tecniche e organizzative previste dal decreto ex comma 6;
• le modalità di collegamento temporale delle informazioni senza identificabilità degli interessati;
• il conferimento, e non la mera comunicazione, dei dati al Ministero della salute per tutte le finalità legislative;
• l’inquadramento dei detenuti interessati quali destinatari diretti;
• l’integrazione dell’AIR o della relazione illustrativa e della relazione tecnica;
• l’acquisizione del parere del Garante per la protezione dei dati personali.

Esito

Il Consiglio di Stato ha sospeso l’esame del provvedimento in attesa degli adempimenti istruttori indicati in motivazione. Il parere definitivo non è stato quindi espresso. La Sezione ha ricordato che il proprio controllo preventivo deve avere ad oggetto il testo effettivamente trasmesso e non può essere formulato sulla base di modifiche o integrazioni soltanto future.