Ricorso   per   il   Presidente   del   Consiglio  dei  ministri,
rappresentato  e  difeso dall'Avvocato generale dello Stato, presso i
cui  uffici,  in  Roma,  via  del  Portoghesi  n. 12,  domicilia, nei
confronti  della  Regione  Emilia-Romagna,  in persona del presidente
della  giunta  regionale  per  la  dechiarazione  dell'illegittimita'
costituzionale  della  legge  della  Regione Emilia-Romagna 24 maggio
2004, n. 11 pubblicata nel B.U.R. n. 65 del 25 maggio 2004, «sviluppo
regionale  della  societa' dell'informazione», negli articoli 12, 13,
14  in relazione all'art. 2 ed all'art. 117, comma secondo, lett. l),
m)  r)  e  comma  sesto della Costituzione, nonche' ai principi della
legislazione statale in materia di protezione dei dati personali.

    La  legge n. 11/2004 della Regione Emilia-Romagna detta norme per
lo  sviluppo regionale della societa' dell'informazione, definendo le
linee    guida   per   un   utilizzo   integrato   delle   tecnologie
dell'informazione    e    della    comunicazione    nelle   pubbliche
amministrazioni e nella societa' regionale.
    Tale  legge, giusta delibera del Consiglio dei Ministri in data 9
luglio 2004, viene impugnata nelle sottoindicate disposizioni.
    a) Art. 12.
    Nel  capo  IV  della  legge  impugnata,  concernente  il  sistema
informativo regionale, l'art. 12:
        afferma che l'insieme delle informazioni acquisite o prodotte
nell'esercizio  di  pubbliche  funzioni costituisce patrimonio comune
per  le  attivita'  istituzionali  delle  pubbliche amministrazioni e
degli  enti,  associazioni  a soggetti privati, che operano in ambito
regionale per finalita' di interesse pubblico;
        stabilisce  che tale patrimonio e' aperto alla disponibilita'
ed  al libero utilizzo di soggetti terzi (rispetto a quelli, pubblici
o privati, che operano in ambito regionale per finalita' di interesse
pubblico)  nelle  forme  e  con  le  modalita'  di  carattere tecnico
deliberate dalla giunta regionale;
        prevede,  in particolare, che con regolamento regionale venga
disciplinata  la  cessione a privati e ad enti pubblici economici dei
dati costitutivi dell'anzidetto patrimonio informativo pubblico;
        stabilisce  l'obbligo  sia  delle pubbliche amministrazioni e
degli  enti  pubblici  che  operano  in  ambito  regionale  sia delle
associazioni  e  dei soggetti privati che operano in ambito regionale
per  finalita' di interesse pubblico di fornire la disponibilita' dei
dati contenuti nei propri sistemi informativi.
    Vero  e'  che tale articolo dichiara, in modo del tutto generico,
di  disporre  nei  limiti  di  cui  al  d.lgs. n. 196/2003 (codice di
protezione  dei  dati  personali)  e  richiama, sempre genericamente,
l'esigenza   del   rispetto,   da   parte   dell'emananda  disciplina
regolamentare,  dei  principi  fondamentali  posti dalla legislazione
statale  in materia nonche' dei livelli di tutela previsti nel citato
d.lgs.  Sta  di fatto, peraltro, che le disposizioni in questione, in
quanto  riferibili  anche ad informazioni relative a persone fisiche,
persone    giuridiche,    enti    o   associazioni   identificati   o
identificabili,  anche indirettamente (cfr. art. 4, comma 1, lett. b)
del  d.lgs.  196/2003), violano la riserva esclusiva allo Stato della
potesta'  legislativa (e regolamentare) in materia di trattamento dei
dati  personali  (art. 117,  comma  secondo,  lett.  l) e m) Cost.) e
contrastano  comunque  con i principi e la specifica disciplina della
relativa legislazione statale concernente i trattamenti in generale e
quelli  effettuati  dai  soggetti  pubblici  in particolare (parte I,
titolo III, capo I e capo II del d.lgs. n. 196/2003).
    Com'e'  noto, si intende per «trattamento» qualunque operazione o
complesso   di   operazioni,  effettuati  anche  senza  l'ausilio  di
strumenti  elettronici,  concernenti  la  raccolta, la registrazione,
l'organizzazione, la conservazione, la consultazione, l'elaborazione,
la   modificazione,   la   selezione,   l'estrazione,  il  raffronto,
l'utilizzo,  l'interconnessione,  il  blocco,  la  comunicazione,  la
diffusione,  la  cancellazione e la distruzione di dati, anche se non
registrati  in  una banca dati (art. 4, comma 1, lett. a), del citato
d.lgs., coerente all'art. 2, lett. b) della direttiva 95/46/CE del 24
ottobre 1995).
    Esclusa la configurabilita' di una qualsiasi competenza regionale
sulla  base  dei  commi  terzo  e  quarto  dell'art.  117  Cost.,  la
competenza  esclusiva  dello Stato in materia - che si raccorda anche
ad   atti  internazionali  (Convenzione  di  Strasburgo  n. 108/1981,
ratificata  con legge n. 98/1989) e comunitari (citata direttiva) per
quanto specificamente concerne la tutela dei diritti e delle liberta'
fondamentali  delle  persone  fisiche  -  e'  da  riconoscere in base
all'art. 117, comma secondo, Cost. in riferimento sia alle previsioni
della  lett.  l)  (ordinamento  civile)  sia, per altri aspetti, alle
previsioni  della  lett.  m)  (determinazione  dei livelli essenziali
delle  prestazioni  concernenti i diritti civili e sociali che devono
essere garantiti su tutto il territorio nazionale) ed alle previsioni
della lettera r) (coordinamento informativo statistico ed informatico
dei dati dell'amministrazione statale, regionale e locale).
    La disciplina relativa alla protezione dei dati personali attiene
infatti  alla conformazione di diritti fondamentali della persona, il
cui  livello  di tutela, nel quadro della garanzia voluta dall'art. 2
Cost.  ed  in base ad una legge generale od a leggi settoriali (cfr.,
23°  considerando  della  direttiva, non puo' che essere uniforme sul
territorio  nazionale e coerente ai richiamati atti sopranazionali, i
cui principi sono codificati nel d.lgs. n. 196/2003.
    Orbene,  la prevista generale condivisione delle informazioni per
la  formazione  di  un  patrimonio  informativo  comune,  di  stabile
supporto  alle  varie  attivita'  di  tutti  i  soggetti,  pubblici e
privati,  che  operano in ambito regionale per ogni diversa finalita'
di  interesse  pubblico,  appare  in  contrasto  con  quanto previsto
dall'art.  11  del  d.lgs.,  che  vuole  che  i  dati personali siano
raccolti  e  registrati  per  scopi  determinati  ed espliciti, siano
pertinenti  e non eccedenti rispetto alle specifiche finalita' per le
quali  sono  raccolti  e siano conservati per un periodo di tempo non
superiore  a  quello  necessario per gli scopi per i quali sono stati
raccolti.
    Con  il  richiamato art. 11 contrasta a sua volta l'affermazione,
di  principio  ed  assoluta,  di  apertura  di  tale  patrimonio alla
disponibilita'  ed  al libero utilizzo di soggetti terzi, estranei ad
attivita' di interesse pubblico.
    La  previsione  di  emanazione di un regolamento regionale per la
disciplina  della  cessione  dei  dati  a  privati  ed  enti pubblici
economici,  contrasta  poi  con  la sottolineata competenza esclusiva
dello  Stato  alla  disciplina  della materia (art. 117, comma sesto,
Cost.) e con la specifica disposizione dell'art. 19, comma terzo, del
d.lgs.  n. 196/2003, secondo la quale la comunicazione da parte di un
soggetto  pubblico  a  privati  o  ad  enti  pubblici  economici e la
diffusione  da  parte di un soggetto pubblico sono ammesse unicamente
quando  sono  previste  da  una  norma  di legge o di regolamento, da
intendere,  per  quanto  gia'  detto,  di livello statale. Di cio' e'
anche  testuale  conferma  nella  disposizione  dell'art.  154, comma
quarto  (il  cui  referente si rinviene nell'art. 282 della direttiva
95/46/CE),  che  stabilisce  che  il  Presidente  del  Consiglio  dei
ministri  e  ciascun ministro consultano il garante per la protezione
dei   dati  personali  all'atto  della  predisposizione  delle  norme
regolamentari  e  degli  atti amministrativi suscettibili di incidere
sulle  materie  disciplinate  dallo stesso non ipotizzandosi in alcun
modo una potesta' regolamentare delle regioni.
    Allo  stesso  modo  l'aprioristica e globale obbligatoria messa a
disposizione   dei  dati  contenuti  nei  propri  rispettivi  sistemi
informativi  da  parte  dei  soggetti  pubblici  e privati, senza una
preventiva  verifica  di  necessita',  contrasta  sia con il ripetuto
art. 11  sia  con  la  specifica  disposizione  dell'art.  19,  comma
secondo,  del  d.lgs. 196/2003, secondo la quale la comunicazione dei
dati  da  parte di un soggetto pubblico ad altri soggetti pubblici e'
ammessa  solo  quando  e'  prevista  da  «una  norma  di  legge  o di
regolamento» (di livello statale).
    E' appena il caso di aggiungere, poi, che la messa a disposizione
e  lo  scambio  di dati e' cosa ben diversa dalla predisposizione e/o
acquisizione  di  programmi  informatici  secondo  criteri  tecnici e
operativi  omogeneamente  rispondenti  alle direttive ministeriali in
materia.
    b) Art. 13 e art. 14
    Gli   articoli   13   e  14  della  legge  impugnata,  concernono
rispettivamente  l'impostazione  del  sistema  informativo  regionale
(SIR)  e l'integrazione nel SIR, previe intese con le amministrazioni
statali e gli enti pubblici nazionali, dei flussi informativi a scala
nazionale  nonche'  l'utilizzo dei dati a scala regionale inclusi nei
sistemi informativi gestiti o posseduti dalle amministrazioni ed enti
medesimi
    Evidente  il  contrasto  con  le  previsioni dell'art. 117, comma
secondo,  lett.  r)  dell'art. 117 Cost., che riservano allo Stato la
competenza     sul     coordinamento     informativo     dei     dati
dell'amministrazione statale, regionale e locale.
    Un  generico  riferimento  al  principio di collaborazione fra le
varie  amministrazioni  pubbliche  non vale a superare il rilievo che
ciascun  sistema informativo, strumentale all'esercizio di competenze
distinte  anche  a livello costituzionale, si struttura in funzioni e
procedimenti  distinti  per le modalita' consentite di raccolta delle
informazioni  e,  in generale, per il trattamento e la disponibilita'
dei dati in forme e modi diversi, non suscettibili di interscambio in
relazione  ai  diversi  titoli  di  legittimazione  al  di  fuori  di
condizioni e cautele che solo la normativa statale puo' stabilire, ad
evitare  la  messa  in  pericolo  di  diritti  inviolabili  garantiti
dall'art. 2 Cost.
    Di  contro,  nella  logica  della  prevista integrazione dei dati
informativi,  il  trattamento  avverrebbe  al di fuori delle regole e
delle  cautele  precisate  per  specifici  settori nella parte II del
d.lgs.  n. 196/2003  e,  in  particolare,  del  relativo titolo V per
quanto concerne i dati sanitari.
    A  quest'ultimo  riguardo,  le impugnate disposizioni, da un lato
prevedono   la  collaborazione  anche  delle  aziende  sanitarie  per
l'immissione  ed  il  trattamento  dei  dati a scala infraregionale e
locale  nonche'  per  l'alimentazione  e  l'aggiornamento  dei flussi
informativi  (art.  13), dall'altro prevedono la realizzazione con il
sistema  delle aziende sanitarie di supporti e procedure informatiche
per  l'estrazione  automatica  da  archivi,  anche  gestionali, ed il
trattamento  dei  dati necessari ad integrare le basi informative del
SIR e dei sistemi degli altri enti, nonche' lo sviluppo e la gestione
di  applicazioni di comune interesse (art. 14). Cio' in modo generico
ed  indiscriminato,  senza alcuna particolare considerazione dei dati
sensibili   (di   cui  all'art. 4,  comma  1,  lett.  d)  del  d.lgs.
n. 196/2003)  ed  in  contrasto  con  l'art  20, 21 e 22 del ripetuto
d.lgs.,  che  ne  consentono  il  trattamento  solo se autorizzato da
espressa  disposizione di legge statale nella quale siano precisati i
tipi  di  dati  trattabili,  le operazioni eseguibili e le specifiche
finalita'   di   rilevante   interesse   pubblico  perseguite  (quali
specificate nelle disposizioni della parte II del d.lgs. n. 196/2003)
e,   per   i   soggetti   pubblici,  lo  limitano  comunque  ai  dati
indispensabili  per  svolgere  attivita' istituzionali con le cautele
previste, in particolare, dall'art. 22.
    Quanto  al  richiamo operato nell'impugnato art. 14, «per tenerne
conto»,  all'accordo  quadro  tra  Ministero della sanita', regioni e
province  autonome  per  lo  sviluppo  del  nuovo sistema informativo
sanitario  nazionale  (accordo  22  febbraio 2001 di durata triennale
scaduta), va osservato che i requisiti funzionali di massima indicati
nell'art. 3  dell'accordo  non  potrebbero essere che quelli definiti
nel dettaglio dallo Stato, in base alle sopravvenute previsioni della
L.C.  3/2001,  cosi'  come  e'  rimessa allo Stato la definizione del
quadro normativo cui fa riferimento l'art. 4 dello stesso accordo.

                              P. Q. M.
    Si  conclude  pertanto  perche'  sia  dichiarata l'illegittimita'
costituzionale  della  legge  24  maggio  2004,  n. 11  della Regione
Emilia-Romagna negli articoli 12, 13 e 14 per le ragioni e come sopra
precisato.
        Roma, addi' 19 giugno 2004
               L'Avvocato dello Stato: Giorgio D'Amato
04C0990