Il codice in materia di protezione dei dati personali (informalmente noto anche come codice della privacy) è un testo unico italiano che contiene le norme nazionali relative alla tutela dei dati personali.

In vigore dal 2004, è stato profondamente modificato nel 2018, per adeguare la normativa italiana a quella dell'Unione europea in seguito all'approvazione nel 2016 del Regolamento generale sulla protezione dei dati (GDPR).

Storia Prima di una specifica normativa l'unica tutela era fornita dalla giurisprudenza della Suprema Corte di Cassazione; per rispettare gli accordi di Schengen e per attuare la direttiva dell'Unione europea 95/46/CE del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali venne emanata la legge 31 dicembre 1996 n. 675, che entrò in vigore nel maggio 1997.

Con il passare del tempo a tale norma si erano affiancate ulteriori leggi, riguardanti singoli specifici aspetti del trattamento dei dati. La complessità normativa creatasi in seguito all'approvazione di diverse disposizioni portò all'emanazione del d.lgs 30 giugno 2003, n. 196 che ha riordinato interamente la materia. Nel 2011 e 2012 altre disposizioni hanno emendato il codice del 2003, in particolare abolendo alcuni passaggi burocratici (come il DPS) e alcuni limiti al trattamento di informazioni sensibili fornite spontaneamente mediante il proprio CV.

Il 25 gennaio 2012 la Commissione Europea ha approvato la proposta di un regolamento sulla protezione dei dati personali, in sostituzione della direttiva 95/46/CE. Il 4 maggio 2016 è stato emanato il regolamento dell'Unione europea n. 2016/679 denominato Regolamento generale sulla protezione dei dati (direttamente applicabile senza necessità di una legge di recepimento nei singoli Stati membri), in vigore dal 24 maggio 2016, la cui applicazione definitiva è avvenuta il 25 maggio 2018.

Generalità In tale corpo normativo i diritti tutelati vengono bilanciati con altri diritti di pari rango, contemplati in Costituzione, quali il diritto a un'equa retribuzione (art. 36) e il diritto di difesa (art. 24). L'effettività di questi diritti richiede l'accesso e la consultazione dei documenti aziendali, per produrre le prove necessarie, ad esempio, a dimostrare la qualità e quantità del lavoro svolto, o la propria estraneità ai fatti imputati.

In questo senso, il principio del pari rango regolamenta lo stesso aspetto di accesso e consultazione nel settore pubblico. Essendo il datore di lavoro l'unico soggetto avente titolo, in quanto proprietario e gestore dei sistemi informatici e di archiviazione, esiste l'eventualità concreta di creazione, eliminazione o modifica senza traccia di informazioni e azioni dell'utente sul sistema prima della loro acquisizione in sede processuale, e la difficoltà di una loro ricostruzione ex-post.

Struttura Il Testo unico sulla privacy si componeva di tre parti e tre allegati, secondo il seguente schema:

disposizioni generali (art. 1-45) relativi alle regole "sostanziali" della disciplina del trattamento dei dati personali, applicabili a tutti i trattamenti, salvo eventuali regole specifiche per i trattamenti effettuati da soggetti pubblici o privati (art. 6); disposizioni particolari per specifici trattamenti (art. 46-140) ad integrazione o eccezione alle disposizioni generali della parte I; le disposizioni relative alle azioni di tutela dell'interessato e al sistema sanzionatorio (artt. 141-186).

Al testo seguivano tre allegati:

allegato A, relativo ai codici di condotta; allegato B, concernente il disciplinare tecnico in materia di misure minime di sicurezza; allegato C, sui trattamenti non occasionali effettuati in ambito giudiziario o per fini di polizia.

L'attuale struttura del Codice in materia di protezione dei dati personali, dopo l'intervento di riordino adottato con il D.lgs. n. 101/2018 in seguito alla piena applicazione del Regolamento generale sulla protezione dei dati, è la seguente (i titoli e i capi non menzionati sono stati abrogati):

PARTE I DISPOSIZIONI GENERALI

Titolo I - Principi e disposizioni generali Capo I - Oggetto, finalità e Autorità di controllo Capo II – Principi Capo III - Disposizioni in materia di diritti dell'interessato Capo IV - Disposizioni relative al titolare del trattamento e al responsabile del trattamento

PARTE II DISPOSIZIONI SPECIFICHE PER I TRATTAMENTI NECESSARI PER ADEMPIERE AD UN OBBLIGO LEGALE O PER L'ESECUZIONE DI UN COMPITO DI INTERESSE PUBBLICO O CONNESSO ALL'ESERCIZIO DI PUBBLICI POTERI NONCHÈ DISPOSIZIONI PER I TRATTAMENTI DI CUI AL CAPO IX DEL REGOLAMENTO

TITOLO 0.1 - (Disposizioni sulla base giuridica) Capo II - Minori Capo III - Informatica giuridica

Titolo III – Difesa e sicurezza dello Stato

Titolo IV - Trattamenti in ambito pubblico Capo I - Accesso a documenti amministrativi Capo II - Registri pubblici e albi professionali

Titolo V - Trattamento di dati personali in ambito sanitario Capo I – Principi generali Capo II - Modalita' particolari per informare l'interessato e per il trattamento dei dati personali Capo IV - Prescrizioni mediche Capo VI - Disposizioni varie

Titolo VI – Istruzione Capo I - Profili generali

Titolo VII - Trattamenti a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici Capo I - Profili generali Capo II - Trattamento a fini di archiviazione nel pubblico interesse o di ricerca storica Capo III - Trattamento a fini statistici o di ricerca scientifica

TITOLO VIII - Trattamenti nell’ambito del rapporto di lavoro Capo I - Profili generali Capo II - Trattamento di dati riguardanti i prestatori di lavoro Capo III - Controllo a distanza, lavoro agile e telelavoro Capo IV - Istituti di patronato e di assistenza sociale

Titolo IX - Altri trattamenti in ambito pubblico o di interesse pubblico Capo I – (Assicurazioni)

Titolo X - Comunicazioni elettroniche Capo I - Servizi di comunicazione elettronica

Titolo XII - Giornalismo, libertà di informazione e di espressione Capo I - Profili generali Capo II - Regole deontologiche relative ad attività giornalistiche e ad altre manifestazioni del pensiero

PARTE III TUTELA DELL'INTERESSATO E SANZIONI

Titolo I - Tutela amministrativa e giurisdizionale Capo 0.I Alternatività delle forme di tutela Capo I - Tutela dinanzi al Garante Capo II - Tutela giurisdizionale

Titolo II - Autorità di controllo indipendente Capo I - Il Garante per la protezione dei dati personali Capo II – L’Ufficio del Garante Capo III - Accertamenti e controlli

Titolo III – Sanzioni Capo I – Violazioni amministrative Capo II - Illeciti penali

Titolo IV - Disposizioni modificative, abrogative, transitorie e finali Capo I - Disposizioni di modifica Capo III - Abrogazioni Capo IV - Norme finali

Regole deontologiche - Allegato A

A.1 - “Regole deontologiche relative al trattamento dei dati personali nell'esercizio dell'attività giornalistica” (G.U. del 4 gennaio 2019, n. 3);

A.2 - Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria (G.U. del 15gennaio 2019, n. 12).

A.3 - Regole deontologiche per il trattamento a fini di archiviazione nel pubblico interesse o per scopi di ricerca storica (G.U. del 15gennaio 2019, n. 12);

A.4 - "Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale" (G.U. del 14 gennaio 2019, n. 11);

A.5 - “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica” (G.U. del 14 gennaio 2019, n. 11).

Dalla data di pubblicazione in Gazzetta ufficiale delle “Regole deontologiche”, hanno cessato di trovare applicazione i corrispondenti codici di deontologia riportati negli allegati A1, A2, A3, A4 e A6 del Codice, ai sensi di quanto disposto dall’art. 20, comma 4, del decreto legislativo 10 agosto 2018, n. 101.

Gli allegati B e C sono stati abrogati dall’art. 27, comma 1, lett. d), del decreto legislativo 10 agosto 2018, n. 101.

Contenuto Il D.Lgs 196/2003 ha abrogato la precedente legge 675/96, che era stata introdotta per rispettare gli accordi di Schengen ed era entrata in vigore nel maggio 1997. Con il tempo, data la tipica stratificazione normativa dei sistemi giuridici a tradizione civilista (tra cui quello italiano), a tale norma si erano affiancate numerose altre disposizioni concernenti specifici aspetti del trattamento dei dati, che sono state conglobate nel Testo Unico vigente, il Codice in materia di protezione dei dati personali appunto, entrato in vigore il 1º gennaio 2004.

Sull'applicazione della normativa vigila l'Autorità Garante per la protezione dei dati personali, istituita sin dalla L. 675/1996, poi confermata anche dal Testo Unico del 2003. Il decreto legislativo integra oggi, a livello nazionale, il Regolamento generale sulla protezione dei dati, tutelando il diritto della singola persona fisica sui propri dati personali.

All'art. 1 del Testo Unico si stabilisce che il trattamento dei dati personali deve avvenire secondo le norme del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, Regolamento generale sulla protezione dei dati, e del Codice stesso, nel rispetto della dignità umana, dei diritti e delle libertà fondamentali della persona. Tale diritto pertiene ai diritti della personalità.

Definizioni e rinvio al GDPR Il Testo unico ha fatto chiarezza fornendo precise definizioni all'art. 4 (oggi abrogate dopo l'intervento del D.lgs. 101/2018). Le definizioni rilevanti per la disciplina in materia di protezione dei dati personali sono ormai contenute direttamente nell'art. 4 del Regolamento generale sulla protezione dei dati, noto anche come "GDPR" (acronimo inglese di "General Data Protection Regulation").

Liceità del trattamento Le basi giuridiche e le condizioni di liceità del trattamento dei dati personali sono oggi fissate negli articoli da 6 a 10 del Regolamento generale sulla protezione dei dati. Talune condizioni di liceità sono ancora previste, in via aggiuntiva, a livello nazionale, per quanto concerne i trattamenti di dati per adempimento di obblighi legali o per lo svolgimento di compiti d'interesse pubblico o l'esercizio di pubblici poteri, nonché negli ambiti della ricerca scientifica o storica, delle attività statistiche, dell'archiviazione nel pubblico interesse, della sanità e dei dati relativi alla salute, genetici o biometrici, dell'accesso ai documenti pubblici, dei rapporti di lavoro (articoli 2-ter, 2-quater, 2-sexies, 110, 110-bis del Codice).

I diritti riconosciuti I diritti degli interessati (persone fisiche cui si riferiscono i dati) in materia sono oggi contenuti nel Regolamento generale sulla protezione dei dati, agli articoli da 15 a 22. Da notare che il Codice in materia di protezione dei dati personali estende, a livello nazionale, l'ambito di applicazione dei diritti in caso di persone decedute (altrimenti non ricomprese nel perimetro applicativo del GDPR): all'art. 2-terdecies si stabilisce che i diritti di cui agli articoli da 15 a 22 del Regolamento riferiti ai dati concernenti persone decedute possono essere esercitati da chi ha un interesse proprio, o agisce a tutela dell'interessato, in qualità di suo mandatario, o per ragioni familiari meritevoli di protezione.

Le persone giuridiche