ha pronunciato la seguente
SENTENZA
nel giudizio di legittimita' costituzionale dell'art. 3 della
legge della Regione Puglia 15 giugno 2023, n. 13, recante
«Disposizioni per prevenire e contrastare condotte di maltrattamento
o di abuso, anche di natura psicologica, in danno di anziani e
persone con disabilita' e modifica alla legge regionale 9 agosto
2006, n. 26 (Interventi in materia sanitaria)», promosso dal
Presidente del Consiglio dei ministri con ricorso notificato il 17
agosto 2023, depositato in cancelleria il successivo 18 agosto,
iscritto al n. 25 del registro ricorsi 2023 e pubblicato nella
Gazzetta Ufficiale della Repubblica n. 38, prima serie speciale,
dell'anno 2023.
Visto l'atto di costituzione della Regione Puglia;
udita nell'udienza pubblica del 20 marzo 2024 la Giudice
relatrice Emanuela Navarretta;
uditi l'avvocato dello Stato Giancarlo Caselli per il Presidente
del Consiglio dei ministri e l'avvocato Isabella Fornelli per la
Regione Puglia;
deliberato nella camera di consiglio del 20 marzo 2024.
Ritenuto in fatto
1.- Con ricorso iscritto al n. 25 del reg. ric. 2023, il
Presidente del Consiglio dei ministri, rappresentato e difeso
dall'Avvocatura generale dello Stato, ha promosso questioni di
legittimita' costituzionale dell'art. 3 della legge della Regione
Puglia 15 giugno 2023, n. 13, recante «Disposizioni per prevenire e
contrastare condotte di maltrattamento o di abuso, anche di natura
psicologica, in danno di anziani e persone con disabilita' e modifica
alla legge regionale 9 agosto 2006, n. 26 (Interventi in materia
sanitaria)», per violazione dell'art. 117, secondo comma, lettera l),
della Costituzione, con riguardo alle materie «ordinamento civile» e
«ordinamento penale», e per violazione dell'art. 117, primo comma,
Cost., in relazione sia al regolamento (UE) n. 679/2016 del
Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla
protezione delle persone fisiche con riguardo al trattamento dei dati
personali, nonche' alla libera circolazione di tali dati e che abroga
la direttiva 95/46/CE (regolamento generale sulla protezione dei
dati), sia alla direttiva (UE) 2016/680 del Parlamento europeo e del
Consiglio, del 27 aprile 2016, relativa alla protezione delle persone
fisiche con riguardo al trattamento dei dati personali da parte delle
autorita' competenti a fini di prevenzione, indagine, accertamento e
perseguimento di reati o esecuzione di sanzioni penali, nonche' alla
libera circolazione di tali dati e che abroga la decisione quadro
2008/977/GAI del Consiglio.
1.1.- La disposizione impugnata si colloca nel contesto di una
legge regionale che intende prevenire e contrastare condotte di
maltrattamento o di abuso, anche di natura psicologica, in danno di
anziani e persone con disabilita' nell'ambito delle strutture
socio-sanitarie e socio-assistenziali a carattere residenziale,
semi-residenziale o diurno (art. 1 della legge reg. Puglia n. 13 del
2023). A tal fine, l'art. 4 della medesima legge regionale prevede
l'installazione di sistemi di videosorveglianza quale requisito
necessario a conseguire l'accreditamento istituzionale con il
Servizio sanitario regionale e a ottenere o mantenere
l'autorizzazione all'esercizio dell'attivita' da parte delle
strutture private richiedenti.
L'impugnato art. 3 regola la «[i]nstallazione dei sistemi di
videosorveglianza e [la] tutela della privacy».
In particolare, il legislatore regionale, oltre a stabilire che
l'installazione dei sistemi di videosorveglianza sia effettuata in
conformita' al decreto legislativo 10 agosto 2018, n. 101, recante
«Disposizioni per l'adeguamento della normativa nazionale alle
disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e
del Consiglio, del 27 aprile 2016, relativo alla protezione delle
persone fisiche con riguardo al trattamento dei dati personali,
nonche' alla libera circolazioni di tali dati e che abroga la
direttiva 95/46/CE (regolamento generale sulla protezione dei dati)»,
al regolamento n. 679/2016/UE, nonche' alla Convenzione delle Nazioni
Unite sui diritti delle persone con disabilita' fatta a New York il
13 dicembre 2006, ratificata e resa esecutiva con legge 3 marzo 2009,
n. 18, introduce alcune puntuali previsioni, riguardanti:
l'installazione dei sistemi di videosorveglianza, che deve avvenire
con modalita' atte a garantire la sicurezza dei dati trattati e la
loro protezione da accessi abusivi; la necessita' che l'attivazione
degli impianti sia preceduta dall'acquisizione del consenso degli
ospiti o dei loro tutori; l'esigenza di una adeguata segnalazione dei
sistemi di videosorveglianza a tutti i soggetti che accedono all'area
interessata; l'esecuzione delle registrazioni, che deve essere
effettuata in modalita' criptata; la visione delle registrazioni
stesse, che viene riservata esclusivamente all'autorita' giudiziaria.
2.- Il Presidente del Consiglio dei ministri ritiene che la
disposizione si ponga in contrasto con tre parametri costituzionali.
2.1.- Anzitutto, l'art. 3 invaderebbe la materia «ordinamento
civile», di cui all'art. 117, secondo comma, lettera l), Cost.,
poiche' detterebbe una disciplina concernente il trattamento dei dati
personali, ambito che questa Corte avrebbe gia' ascritto alla citata
competenza legislativa esclusiva dello Stato (viene richiamata in
proposito la sentenza n. 271 del 2005).
La disposizione impugnata opererebbe un generico richiamo alle
disposizioni del regolamento generale sulla protezione dei dati e del
d.lgs. n. 101 del 2018, anziche' rinviare all'intero plesso normativo
di riferimento, e oltretutto evocherebbe le citate fonti con riguardo
alla sola fase di installazione del sistema di videosorveglianza.
La disciplina regionale alluderebbe poi alla mera necessita' del
consenso degli ospiti (o dei tutori), senza indicare le modalita' con
cui il consenso deve essere prestato, ne' i caratteri che deve
presentare; cosi' come non sarebbero regolati i tempi di
conservazione delle videoriprese.
Inoltre, l'art. 3 trascurerebbe del tutto la posizione dei
lavoratori e le garanzie loro assicurate dalla disciplina statale con
l'art. 4 della legge 20 maggio 1970, n. 300 (Norme sulla tutela della
liberta' e dignita' dei lavoratori, della liberta' sindacale e
dell'attivita' sindacale nei luoghi di lavoro e norme sul
collocamento), che regola le condizioni di ammissibilita' dei
controlli a distanza dei lavoratori sul luogo di lavoro.
Ne deriverebbe una violazione anche del principio di
proporzionalita', in quanto si farebbe ricorso a uno strumento di
monitoraggio particolarmente invasivo senza che sia dimostrato che
esso risulti sempre quello piu' adeguato.
In generale, secondo il ricorrente, la Regione sarebbe
intervenuta «in un ambito riservato al legislatore statale cui
spett[erebbe] il bilanciamento [degli] interessi giuridici in gioco».
Da ultimo, il ricorso rinviene ulteriori indici della competenza
esclusiva statale sia nell'art. 5-septies, comma 2, del decreto-legge
18 aprile 2019, n. 32 (Disposizioni urgenti per il rilancio del
settore dei contratti pubblici, per l'accelerazione degli interventi
infrastrutturali, di rigenerazione urbana e di ricostruzione a
seguito di eventi sismici), convertito, con modificazioni, nella
legge 14 giugno 2019, n. 55, che prevede un fondo destinato a
finanziare l'installazione dei sistemi di videosorveglianza a
circuito chiuso presso le strutture di residenza e cura degli
anziani, sia nell'art. 4, comma 2, lettera r), della legge 23 marzo
2023, n. 33 (Deleghe al Governo in materia di politiche in favore
delle persone anziane), che annovera la presenza di sistemi di
videosorveglianza a circuito chiuso fra i criteri di accreditamento e
autorizzazione di tali strutture (la delega conferita al Governo
dall'art. 4 appena citato e' stata esercitata, in epoca successiva al
ricorso statale, con l'art. 31 del decreto legislativo 15 marzo 2024,
n. 29, recante «Disposizioni in materia di politiche in favore delle
persone anziane, in attuazione della delega di cui agli articoli 3, 4
e 5 della legge 23 marzo 2023, n. 33»).
2.2.- Quanto alla materia «ordinamento penale», ad avviso
dell'Avvocatura, la disposizione impugnata si limiterebbe ad
attribuire all'autorita' giudiziaria la competenza all'accesso alle
videoriprese, senza individuare l'intero plesso normativo di
riferimento, da rinvenirsi anche nel decreto legislativo 18 maggio
2018, n. 51, recante «Attuazione della direttiva (UE) 2016/680 del
Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla
protezione delle persone fisiche con riguardo al trattamento dei dati
personali da parte delle autorita' competenti a fini di prevenzione,
indagine, accertamento e perseguimento di reati o esecuzione di
sanzioni penali, nonche' alla libera circolazione di tali dati e che
abroga la decisione quadro 2008/977/GAI del Consiglio».
2.3.- Infine, a fronte di una disciplina del trattamento dei dati
personali prevalentemente regolata da fonti dell'Unione europea, il
Presidente del Consiglio dei ministri lamenta la violazione anche
dell'art. 117, primo comma, Cost., in relazione al regolamento n.
679/2016/UE e alla direttiva 2016/680/UE.
3.- La Regione Puglia si e' costituita in giudizio con atto
depositato il 20 settembre 2023.
3.1.- In rito, solleva tre eccezioni.
3.1.1.- Con la prima, contesta che nella delibera del Consiglio
dei ministri non vi sarebbe alcun riferimento all'art. 117, primo
comma, Cost. e alla violazione dei parametri sovranazionali.
La difesa regionale fa pertanto valere, rispetto al citato
parametro, la ritenuta eccedenza della censura contenuta nel ricorso
rispetto alla volonta' dell'organo politico (sono richiamate in
proposito le sentenze n. 147 del 2022 e n. 109 del 2018 di questa
Corte).
3.1.2.- Con la seconda eccezione di inammissibilita', concernente
la questione sollevata in riferimento all'art. 117, secondo comma,
lettera l), Cost., con riguardo alla materia «ordinamento civile», la
Regione Puglia rileva il mancato riferimento a norme interposte e,
ancor prima, una inadeguata individuazione della specifica materia
rientrante nell'alveo della menzionata competenza.
3.1.3.- Infine, la difesa regionale adduce l'inconferenza di
tutti parametri costituzionali evocati, osservando che una disciplina
relativa l'installazione degli impianti di videosorveglianza
afferirebbe alla materia «ordine pubblico e sicurezza» (art. 117,
secondo comma, lettera h) o, in subordine, alla «tutela della
salute», materia attribuita dal terzo comma dell'art. 117 Cost. alla
competenza legislativa concorrente delle regioni.
3.2.- Nel merito, la Regione Puglia sostiene la non fondatezza
delle questioni sollevate, sottolineando come la disposizione
impugnata si inquadri nell'ambito di una legge regionale che nasce in
conseguenza «di gravissimi episodi di maltrattamento e di abuso
riportati dalle cronache che riferiscono di anziani e disabili che
all'interno delle strutture sociosanitarie o assistenziali hanno
subito inaccettabili violenze fisiche e psicologiche».
In simile contesto, l'impugnato art. 3 introdurrebbe un obbligo
di installazione di sistemi di videosorveglianza, allo scopo di
prevenire i maltrattamenti e per individuarne gli autori. La
previsione corrisponderebbe, al contempo, all'interesse degli
operatori sociosanitari che svolgono il proprio lavoro con impegno e
correttezza e la cui immagine e professionalita' sarebbero lese dalle
condotte di colleghi irresponsabili.
La Regione Puglia aggiunge che, ai sensi dell'art. 4 della stessa
legge regionale, l'installazione degli impianti di videosorveglianza
entra a far parte dei requisiti delle strutture private per ottenere
l'accreditamento presso il Servizio sanitario regionale, nonche' per
conseguire o mantenere l'autorizzazione all'esercizio delle
attivita'.
Questo, oltre a confermare l'ascrivibilita' della disposizione
impugnata alla materia «tutela della salute», dimostrerebbe la
mancata interferenza con l'ambito materiale del trattamento dei dati
personali, anche perche' non sarebbe stata introdotta «una nuova
disciplina» in materia, essendo «richiama[ta] espressamente la
normativa statale e comunitaria sul punto».
Dopo aver evocato alcuni passaggi della sentenza di questa Corte
n. 271 del 2005, dai quali, a suo avviso, si comprenderebbe come non
sussista una incompetenza del legislatore regionale a disciplinare il
trattamento dei dati personali, quando siano integralmente rispettate
le norme statali sulla loro protezione, la difesa regionale passa in
rassegna i vari profili oggetto di impugnazione, sottolineando per
ciascuno di essi la ritenuta conformita' alle norme contenute nel
regolamento n. 679/2016/UE e nel decreto legislativo 30 giugno 2003,
n. 196, recante «Codice in materia di protezione dei dati personali,
recante disposizioni per l'adeguamento dell'ordinamento nazionale al
regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio,
del 27 aprile 2016, relativo alla protezione delle persone fisiche
con riguardo al trattamento dei dati personali, nonche' alla libera
circolazione di tali dati e che abroga la direttiva 95/46/CE».
Quanto alla omessa menzione del d.lgs. n. 51 del 2018, la Regione
sostiene che tale disciplina riguarderebbe il trattamento dei dati
personali delle persone fisiche da parte delle autorita' competenti,
a fini penalistici, e si collocherebbe, pertanto, al di fuori del
perimetro applicativo dell'art. 3 impugnato.
Ne' la disposizione oggetto di scrutinio contrasterebbe con il
d.l. n. 32 del 2019, come convertito, o con la legge di delega n. 33
del 2023, posto che, al contrario, tali normative mostrerebbero un
«favore per l'adozione, da parte delle strutture ivi indicate, di
sistemi di videosorveglianza per la medesima finalita' di tutela,
consacrata nell'art. 1 della legge regionale 13/2023 in disamina, ed
in tale quadro normativo ben si incaston[erebbe] allora la norma
inopinatamente impugnata, che riprende a livello regionale quanto
gia' previsto a livello statale».
Da ultimo, la difesa regionale rammenta che anche la Regione
Lombardia avrebbe normato nel medesimo settore e negli stessi termini
adottati dalla legislazione pugliese, senza, tuttavia, suscitare
alcuna impugnativa da parte statale.
4.- Successivamente, in data 27 febbraio 2024, la Regione Puglia
ha depositato una memoria integrativa, con la quale ha reiterato le
eccezioni di rito e di merito gia' proposte in sede di costituzione.
5.- All'udienza del 20 marzo 2024, l'Avvocatura generale dello
Stato e la difesa regionale hanno insistito per l'accoglimento delle
conclusioni rassegnate negli scritti difensivi.
Considerato in diritto
1.- Con ricorso iscritto al n. 25 reg. ric. 2023, depositato il
18 agosto 2023, il Presidente del Consiglio dei ministri,
rappresentato e difeso dall'Avvocatura generale dello Stato, ha
promosso questioni di legittimita' costituzionale dell'art. 3 della
legge reg. Puglia n. 13 del 2023, per violazione dell'art. 117,
secondo comma, lettera l), Cost. con riguardo alle materie
«ordinamento civile» e «ordinamento penale», nonche' per violazione
dell'art. 117, primo comma, Cost., in relazione al regolamento n.
679/2016/UE e alla direttiva 2016/680/UE.
1.1.- L'impugnato art. 3 regola la «[i]nstallazione dei sistemi
di videosorveglianza e [la] tutela della privacy», con cinque commi
che, oltre a prevedere il rispetto - nella sola fase
dell'installazione - del d.lgs. n. 101 del 2018, del regolamento n.
679/2016/UE e della Convenzione delle Nazioni Unite sui diritti delle
persone con disabilita', dettano specifiche prescrizioni concernenti
la raccolta e il trattamento dei dati personali.
2.- Il Presidente del Consiglio dei ministri ritiene che le norme
si pongano in contrasto con tre parametri costituzionali.
2.1.- Anzitutto, l'art. 3 violerebbe l'art. 117, secondo comma,
lettera l), Cost., invadendo la materia, di esclusiva competenza
legislativa statale, «ordinamento civile», alla quale sarebbe
ascrivibile il trattamento dei dati personali.
La disciplina impugnata, da un lato, opererebbe un rinvio
limitato solo ad alcune fonti previste dal legislatore statale e con
riferimento alla mera fase di installazione del sistema di
videosorveglianza, e, da un altro lato, introdurrebbe puntuali
prescrizioni, il cui implicito effetto sarebbe quello di derogare
alla complessiva regolamentazione della materia disposta dal
legislatore statale competente.
2.2.- Di seguito, secondo il Presidente del Consiglio dei
ministri, sarebbe altresi' violata la materia «ordinamento penale»,
di cui al medesimo art. 117, secondo comma, lettera l), Cost., in
quanto l'art. 3, comma 5, della legge reg. Puglia n. 13 del 2023
attribuirebbe all'autorita' giudiziaria il compito di accedere alle
videoriprese, senza individuare l'intero plesso normativo di
riferimento, da rinvenirsi anche nel d.lgs. n. 51 del 2018.
2.3.- Infine, il ricorso lamenta anche la violazione dell'art.
117, primo comma, Cost., in relazione al regolamento n. 679/2016/UE e
alla direttiva 2016/680/UE.
3.- La Regione Puglia si e' costituita in giudizio, sollevando
tre eccezioni di inammissibilita' e chiedendo nel merito il rigetto
del ricorso.
3.1.- Con la prima eccezione di rito, la Regione contesta
l'eccedenza della censura contenuta nel ricorso rispetto alla
volonta' dell'organo politico, assumendo che nella delibera del
Consiglio dei ministri non vi sarebbe alcun riferimento all'art. 117,
primo comma, Cost. e alla violazione dei parametri sovranazionali.
3.1.1.- L'eccezione non e' fondata.
Una piana lettura della delibera del Consiglio dei ministri
palesa come l'organo politico ravvisi nell'art. 3 della legge reg.
Puglia n. 13 del 2023 una disciplina che si porrebbe «in contrasto
con i vincoli derivanti dall'ordinamento comunitario in riferimento
alle disposizioni del Regolamento (UE) n. 2016/679 (cfr. art. 117,
comm[a] primo [...], Cost.» (pagina 12 della delibera).
E', dunque, evidente che l'organo politico ha manifestato la
volonta' di censurare la violazione dei «vincoli derivanti
dall'ordinamento comunitario», di cui all'art. 117, primo comma,
Cost.
3.2.- La seconda eccezione di inammissibilita' attiene
all'asserita mancanza, nel ricorso statale, di riferimenti alle norme
interposte e, ancor prima, l'omessa esatta individuazione della
materia specifica rientrante nell'ordinamento civile.
3.2.1.- Anche questa eccezione va disattesa.
A prescindere dall'improprio utilizzo della locuzione "norma
interposta" per una competenza legislativa statale esclusiva, e'
comunque agevole osservare che il ricorso contiene il riferimento a
numerose norme di livello primario che costituirebbero espressione di
tale competenza nel settore del trattamento dei dati personali.
Inoltre, attraverso il richiamo ai contenuti della sentenza di questa
Corte n. 271 del 2005, il Presidente del Consiglio dei ministri ha
adeguatamente specificato in che termini e per quali ragioni
l'oggetto della disposizione regionale impugnata rientrerebbe nella
materia «ordinamento civile».
3.3.- Infine, con una terza eccezione di rito, la Regione Puglia
sostiene l'inesatta individuazione del parametro costituzionale
violato, che non combacerebbe con quelli di cui il ricorrente lamenta
la lesione, posto che l'ambito normato dall'art. 3 della legge reg.
Puglia n. 13 del 2023 sarebbe, viceversa, ascrivibile all'art. 117,
secondo comma, lettera h), Cost., con riguardo alla materia «ordine
pubblico e sicurezza», o, in subordine, alla competenza legislativa
regionale concorrente nella materia «tutela della salute», di cui
all'art. 117, terzo comma, Cost.
3.3.1.- L'eccezione non e' fondata.
Secondo la giurisprudenza di questa Corte, l'eventuale
«inconferenza del parametro indicato dal ricorrente rispetto al
contenuto sostanziale della doglianza costituisce motivo di non
fondatezza della questione (sentenze n. 132 del 2021 e n. 286 del
2019)» (di recente sentenze n. 163 e n. 53 del 2023), sicche'
l'eccezione attiene al merito e non al rito.
4.- Nel merito, le questioni sollevate in riferimento all'art.
117, secondo comma, lettera l), Cost., con riguardo alla materia
«ordinamento civile», e all'art. 117, primo comma, Cost., in
relazione al regolamento n. 679/2016/UE, sono fondate.
5.- Come questa Corte ha gia' avuto modo di precisare, la
protezione delle persone con riguardo al trattamento dei dati
personali afferisce alla materia «ordinamento civile», sia per quanto
concerne le norme sostanziali, che disciplinano le modalita' di
raccolta e il trattamento dei dati personali, sia per quanto riguarda
le «tutele giurisdizionali delle situazioni soggettive del settore»
(sentenza n. 271 del 2005; in senso analogo, anche sentenza n. 177
del 2020). Tali profili attengono, infatti, al «riconoscimento di una
serie di diritti alle persone fisiche e giuridiche relativamente ai
propri dati, diritti di cui sono regolate analiticamente
caratteristiche, limiti, modalita' di esercizio, garanzie, forme di
tutela in sede amministrativa e giurisdizionale» (ancora sentenza n.
271 del 2005).
Al contempo, l'Unione europea, nell'esercizio della sua
competenza in materia di protezione delle persone fisiche con
riguardo al trattamento dei dati di carattere personale e di libera
circolazione dei dati (art. 16 del Trattato sul funzionamento
dell'Unione europea), ha ampiamente regolamentato la materia,
lasciando limitati spazi alla normazione degli Stati membri.
L'attuale disciplina della protezione dei dati personali si
compone, pertanto, di una complessa trama di fonti, il cui fulcro e'
rappresentato dalla normativa eurounitaria di carattere generale
affidata al regolamento n. 679/2016/UE, che trova completamento e
integrazione nelle fonti nazionali, a partire dal d.lgs. n. 196 del
2003 (come modificato e integrato) e dal d.lgs. n. 101 del 2018, che
ha coordinato le disposizioni nazionali vigenti in materia di
protezione dei dati personali con il regolamento generale sulla
protezione dei dati (sentenza n. 260 del 2021). Ne' mancano
discipline di settore, quale la direttiva n. 680/2016/UE, cui il
legislatore nazionale ha dato attuazione con il d.lgs. n. 51 del
2018.
Dalle richiamate fonti si evince una regolamentazione della
videosorveglianza che scandisce molteplici fasi: dalle condizioni che
consentono l'installazione, agli strumenti e alle modalita' di
raccolta dei dati; dalla informativa preventiva, al consenso dei
titolari dei dati che vengono raccolti; dal successivo trattamento
dei dati, all'accesso ai supporti contenenti questi ultimi e alla
loro utilizzazione.
In particolare, la videosorveglianza presso le strutture
socio-sanitarie e socio-assistenziali investe due campi d'azione
particolarmente delicati: da un lato, determina un monitoraggio che
comprende la raccolta e il trattamento di dati sensibili relativi a
persone anziane, malate o disabili, con inevitabili ricadute sulla
riservatezza e sulla dignita' di persone fragili; da un altro lato,
implica un controllo sull'attivita' lavorativa del personale operante
all'interno delle strutture (medici, infermieri, operatori
socio-sanitari e socio-assistenziali, personale amministrativo,
addetti alle pulizie e altri) e di eventuali lavoratori esterni, la
cui attivita' si svolge, in tutto o in parte, presso le strutture
medesime.
Da ultimo, non puo' tacersi il rilievo che, nella disciplina
della materia, rivestono i provvedimenti del Garante per la
protezione dei dati personali (Sezione II, Capo VI, del regolamento
n. 2016/679/UE), a partire dal provvedimento di carattere generale in
materia di videosorveglianza, adottato l'8 aprile 2010, e dal
provvedimento del 22 febbraio 2018, che contiene le indicazioni
preliminari volte a favorire la corretta applicazione delle
disposizioni del regolamento n. 679/2016/UE.
6.- A fronte della complessita' e ampiezza dei profili implicati
nel trattamento dei dati personali, che richiedono delicati
bilanciamenti fra diritti spesso di rango inviolabile, l'intervento
della Regione viola i vincoli derivanti dall'UE e invade la
competenza legislativa esclusiva spettante allo Stato, in quanto si
sovrappone con proprie previsioni autonome e con un rinvio selettivo
al delicato intreccio di fonti dettate dall'Unione europea e dallo
Stato.
6.1.- Come si inferisce, infatti, sin dalla sua rubrica, l'art. 3
regola l'«[i]nstallazione dei sistemi di videosorveglianza e [la]
tutela della privacy».
La disciplina si articola in cinque commi che, oltre a prevedere
- con riferimento alla sola fase dell'installazione - il rispetto del
d.lgs. n. 101 del 2018, del regolamento n. 679/2016/UE, nonche' della
Convenzione delle Nazioni Unite sui diritti delle persone con
disabilita' (comma 3), stabiliscono le seguenti puntuali
prescrizioni:
«1. Le strutture private adibite all'attivita' di cui
all'articolo 1 provvedono autonomamente all'installazione delle
telecamere a circuito chiuso e ne danno comunicazione alle aziende
sanitarie locali in caso di strutture socio-sanitarie e
socio-assistenziali.
2. I sistemi di videosorveglianza a circuito chiuso di cui al
comma 1 devono essere installati con modalita' atte a garantire la
sicurezza dei dati trattati e la loro protezione da accessi abusivi.
Nelle strutture di cui all'articolo 1 e' vietato l'utilizzo di
webcam.
3. [...] Per l'attivazione e' necessario acquisire il consenso
degli ospiti o dei loro tutori.
4. La presenza dei sistemi di videosorveglianza e' inoltre
adeguatamente segnalata a tutti i soggetti che accedono all'area
video sorvegliata.
5. Le registrazioni sono effettuate in modalita' criptata e
possono essere visionate esclusivamente dall'autorita' giudiziaria, a
seguito di segnalazioni da parte dei soggetti interessati, familiari
o degenti».
6.2.- Una tale disciplina non puo' essere ricondotta - come
invece sostiene la difesa della Regione Puglia - all'esercizio della
competenza legislativa regionale concorrente nella materia «tutela
della salute».
Simile affermazione si potrebbe comprendere, ove riferita
all'art. 4 della medesima legge reg. Puglia n. 13 del 2023, che
prevede l'installazione degli impianti di videosorveglianza quale
requisito ai fini dell'accreditamento o dell'autorizzazione
all'esercizio delle attivita' socio-sanitarie e socio-assistenziali,
disposizione che trova corrispondenza anche in quanto disposto a
livello statale sia dall'art. 31, comma 7, lettera d), del d.lgs. n.
29 del 2024, che ha attuato l'art. 4, comma 2, lettera r), della
legge n. 33 del 2023, annoverando la previsione di sistemi di
videosorveglianza a circuito chiuso fra i criteri per
l'accreditamento e l'autorizzazione di strutture socio-sanitarie e
socio-assistenziali per anziani, sia dall'art. 5-septies, comma 2,
del d.l. n. 32 del 2019, come convertito, che istituisce un fondo
destinato a finanziare l'installazione dei sistemi di
videosorveglianza a circuito chiuso presso le strutture di residenza
e cura degli anziani
Viceversa, la competenza legislativa concorrente nella materia
«tutela della salute» non e' in alcun modo pertinente rispetto
all'art. 3. Infatti, tale competenza puo' consentire alla Regione di
prevedere un onere concernente l'installazione di impianti di
videosorveglianza, al piu' evocando - tramite un rinvio mobile - il
doveroso rispetto di tutta la disciplina dettata dall'Unione europea
e dallo Stato nel campo della videosorveglianza e del trattamento dei
dati personali, ma certo non autorizza la Regione a operare una
cernita delle fonti rilevanti e a dettare essa stessa le regole
concernenti i citati ambiti.
6.2.1.- L'invasione della competenza legislativa statale si
rileva gia' solo in presenza di una novazione delle fonti (di
recente, sentenza n. 239 del 2022 e, nella materia «ordinamento
civile», sentenze n. 153 del 2021 e n. 234 del 2017), che nel tempo
sono suscettibili di modificazioni e integrazioni da parte dei
legislatori competenti.
6.2.2.- Inoltre, e soprattutto, non spetta alla Regione operare
una selezione di fonti e di regole - quale emerge nella disciplina in
esame - che, all'interno dell'articolato plesso normativo contemplato
sia dall'Unione europea sia dal legislatore statale, sono chiamate a
disciplinare questa complessa e delicata materia.
In tal modo, la Regione non solo si sovrappone alle normative
eurounitaria e statale, travalicando le proprie competenze, ma
oltretutto effettua una arbitraria scelta, il cui contenuto
precettivo equivale a ritenere vincolanti le sole regole individuate
dal legislatore regionale e non anche le altre.
6.2.2.1.- Non e' innocuo, in tale prospettiva, che l'art. 3 abbia
individuato, quali fonti da rispettare, il d.lgs. n. 101 del 2018, il
regolamento n. 679/2016/UE e la Convenzione delle Nazioni Unite sui
diritti delle persone con disabilita', cosi' escludendo il d.lgs. n.
196 del 2003 e le altre fonti, emanate dall'UE e attuate dal
legislatore statale.
In particolare, quanto al d.lgs. n. 196 del 2003, esso e' tuttora
vigente e le sue previsioni sono state solo in parte abrogate o
modificate dal d.lgs. n. 101 del 2018, che ha operato opportuni
raccordi con il regolamento n. 679/2016/UE (cosi' la sentenza n. 260
del 2021).
Fra le previsioni del citato codice della privacy e' doveroso, in
particolare, richiamare l'art. 114, secondo cui: «[r]esta fermo
quanto disposto dall'articolo 4 della legge 20 maggio 1970, n. 300»,
il quale detta le condizioni che consentono l'installazione di
impianti audiovisivi «dai quali derivi anche la possibilita' di
controllo a distanza dell'attivita' dei lavoratori», vale a dire
proprio la fattispecie regolata dal legislatore regionale.
6.2.2.2.- Quanto alla raccolta e al trattamento dei dati
personali, la disposizione impugnata, da un lato, opera un richiamo
al regolamento n. 679/2016/UE e al d.lgs. n. 101 del 2018 riferendosi
alla sola fase dell'installazione della videosorveglianza e, da un
altro lato, entra nel vivo della disciplina sul trattamento dei dati
personali, prevedendo che sia acquisito il consenso degli ospiti o
dei loro tutori (art. 3, comma 3, della legge reg. Puglia n. 13 del
2023) e che l'installazione sia genericamente effettuata con
modalita' che garantiscano la sicurezza dei dati e la loro protezione
da accessi abusivi (art. 3, comma 2).
Ma, di nuovo, la selezione di fonti e di regole applicabili non
prende in considerazione l'imponente corpo normativo che, in ambito
eurounitario e statale, oltre a richiedere di regola il consenso di
tutti coloro i cui dati vengono trattati (artt. 6 e 7 del regolamento
n. 679/2016/UE, nonche' art. 9 dello stesso regolamento rispetto ai
dati sensibili), disciplina dettagliatamente: l'informativa; le
modalita' di raccolta del consenso e le sue caratteristiche; le
cautele richieste in ordine ai dati sensibili; il trattamento dei
dati successivo alla raccolta, a partire dalla durata e dalle
modalita' di conservazione dei dati; la garanzia per i titolari dei
dati raccolti di poter accedere agli stessi e di poterne bloccare la
diffusione. Ne' puo' tacersi che, nella scansione delle varie fasi
del trattamento dei dati personali, le fonti emanate dai legislatori
competenti riconoscono ai loro titolari specifiche situazioni
giuridiche soggettive (a essere informati, a manifestare o revocare
il consenso alla raccolta e al trattamento dei dati, a opporsi alla
loro divulgazione, a prendere visione dei dati raccolti), che si
riflettono su altrettanti strumenti di tutela.
6.2.2.3.- Analogamente, anche i commi 1 e 4 dell'art. 3 della
legge reg. Puglia n. 13 del 2023 - che prevedono, rispettivamente,
l'autonoma installazione delle telecamere da parte delle strutture
private, con mera comunicazione alle aziende sanitarie locali,
nonche' una semplice segnalazione dei sistemi di videosorveglianza a
tutti i soggetti che accedono all'area - disattendono il necessario
rispetto di tutte le fonti eurounitarie e statali, comprese le
dettagliate prescrizioni richieste dal gia' citato provvedimento
generale del Garante per la protezione dei dati personali dell'8
aprile 2010.
6.3.- In sostanza - come questa Corte ha gia' avuto modo di
puntualizzare (sentenza n. 271 del 2005) - il contrasto con i vincoli
derivanti dall'UE e con la competenza legislativa statale esclusiva
emerge tanto a fronte di rinvii parziali, quanto in presenza di una
disciplina puntuale che individui solo una limitata porzione di
regole, trascurando le altre che sono oggetto della fitta disciplina
eurounitaria e statale.
7.- In conclusione, l'art. 3 della legge reg. Puglia n. 13 del
2023 e' costituzionalmente illegittimo per contrasto con l'art. 117,
primo comma, Cost., in relazione al regolamento n. 679/2016/UE e alla
direttiva 2016/680/UE, e con l'art. 117, secondo comma, lettera l),
Cost., con riguardo alla materia «ordinamento civile».
E' assorbita ogni ulteriore censura.
8.- Resta fermo che l'accoglimento delle questioni sollevate
sull'art. 3 non incide sull'onere di installare impianti di
videosorveglianza, previsto dall'art. 4 della stessa legge reg.
Puglia n. 13 del 2023, e che l'installazione debba essere effettuata
nel pieno rispetto di tutte le previsioni dettate dall'Unione europea
e dal legislatore statale, nel campo della videosorveglianza e del
trattamento dei dati personali.