SENTENZA N. 164
ANNO 2022
Commento alla decisione di
Veronica Palladini
La Corte costituzionale e i poteri d’intervento del Garante privacy
per g.c. di federalismi.it
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE COSTITUZIONALE
composta dai signori:
Presidente: Giuliano AMATO;
Giudici: Silvana SCIARRA, Daria de PRETIS, Nicolò ZANON, Franco MODUGNO, Augusto Antonio BARBERA, Giulio PROSPERETTI, Giovanni AMOROSO, Francesco VIGANÒ, Luca ANTONINI, Stefano PETITTI, Angelo BUSCEMA, Emanuela NAVARRETTA, Maria Rosaria SAN GIORGIO, Filippo PATRONI GRIFFI,
ha pronunciato la seguente
SENTENZA
nel giudizio per conflitto di attribuzione tra enti sorto a seguito del provvedimento del Garante per la protezione dei dati personali del 18 giugno 2021, n. 244 (Provvedimento di limitazione definitiva in merito ai trattamenti previsti dalla Provincia autonoma di Bolzano in tema di certificazione verde per Covid 19 - 18 giugno 2021), e della comunicazione del 6 luglio 2021, prot. n. 0035891, del Garante per la protezione dei dati personali, promosso dalla Provincia autonoma di Bolzano con ricorso notificato il 12-18 agosto 2021, depositato in cancelleria il 26 agosto 2021, iscritto al n. 2 del registro conflitti tra enti 2021 e pubblicato nella Gazzetta Ufficiale della Repubblica n. 38, prima serie speciale, dell’anno 2021.
Udito nell’udienza pubblica del 24 maggio 2022 il Giudice relatore Augusto Antonio Barbera;
udito l’avvocato Luca Graziani per la Provincia autonoma di Bolzano;
deliberato nella camera di consiglio del 24 maggio 2022.
Ritenuto in fatto
1.– Con ricorso depositato il 26 agosto 2021 (reg. confl. enti n. 2 del 2021), la Provincia autonoma di Bolzano ha sollevato conflitto di attribuzione tra enti nei confronti dello Stato, in riferimento al provvedimento 18 giugno 2021, n. 244 (Provvedimento di limitazione definitiva in merito ai trattamenti previsti dalla Provincia autonoma di Bolzano in tema di certificazione verde per Covid 19 - 18 giugno 2021) e alla nota del 6 luglio 2021, prot. n. 0035891, del Garante per la protezione dei dati personali, chiedendo a questa Corte di dichiarare che non spettava al Garante adottare tali atti, e conseguentemente di annullarli.
2.– La Provincia ricorrente espone che l’art. 9 del decreto-legge 22 aprile 2021, n. 52 (Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell’epidemia da COVID-19), convertito, con modificazioni, in legge 17 giugno 2021, n. 87, ha disciplinato le certificazioni verdi COVID-19, con efficacia a partire dal 23 aprile 2021.
A tale previsione si è adeguato l’Allegato A, punto II-C, della legge della Provincia autonoma di Bolzano 8 maggio 2020, n. 4 (Misure di contenimento della diffusione del virus SARS-COV-2 nella fase di ripresa delle attività), che, peraltro, si sostiene nel ricorso, già prevedeva, tra le misure di contrasto alla pandemia, l’istituzione «per gli esercizi ricettivi» di una «covid protected area» per i soli «ospiti e clienti» in grado di dimostrare la negatività al virus.
In ogni caso, fin dal 23 aprile 2021, il Presidente della Giunta provinciale ha adottato, ai sensi dell’art. 52, comma secondo, del d.P.R. 31 agosto 1972, n. 670 (Approvazione del testo unico delle leggi costituzionali concernenti lo statuto speciale per il Trentino-Alto Adige) l’ordinanza contingibile e urgente 23 aprile 2021, n. 20, recante «Ulteriori misure urgenti per la prevenzione e gestione dell’emergenza epidemiologica da COVID-19».
Il punto 47 di tale ordinanza prevede le «certificazioni verdi», ovvero le «attestazioni rilasciate in base a specifici protocolli emanati dall’Azienda Sanitaria dell’Alto Adige o dalle altre autorità sanitarie», che comprovano la guarigione, ovvero l’intervenuta vaccinazione, ovvero l’esito negativo di un test per la rilevazione del virus.
Il rilascio di tali certificazioni è reso condizione per l’accesso delle persone a strutture e attività sul territorio della Provincia, in attesa, come indicato nel preambolo dell’ordinanza, «di eventuali disposizioni normative emanate a livello centrale».
Analogamente ha previsto la successiva ordinanza 21 maggio 2021, n. 23, anch’essa recante «Ulteriori misure urgenti per la prevenzione e gestione dell’emergenza epidemiologica da COVID-19», il cui punto 46 precisa che spetta agli esercenti tali attività chiedere l’esibizione della certificazione verde.
Entrambe le ordinanze prevedono di avere effetto fino al 31 luglio 2021.
3.– A seguito di tali iniziative, il Garante per la protezione dei dati personali, con nota del 30 aprile, prot. n. 24123, ha chiesto informazioni alla Provincia autonoma di Bolzano, che ha risposto il successivo 7 maggio.
Il Garante per la protezione dei dati personali ha tuttavia ritenuto, con il citato provvedimento n. 244 del 2021, di esercitare nei confronti della Provincia il potere, conferito dall’art. 58, paragrafo 2, lettera f), del regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, di imporre una limitazione definitiva al trattamento dei dati relativi all’utilizzo delle certificazioni verdi, in attuazione delle sopra richiamate ordinanze del Presidente della Giunta provinciale.
Il Garante, con tale provvedimento, ha rammentato di avere manifestato l’opinione che i trattamenti dei dati personali previsti dall’art. 9 del d.l. n. 52 del 2021 potessero violare le disposizioni del richiamato regolamento n. 2016/679/UE, e di avere suggerito, nel corso del procedimento legislativo di conversione del decreto-legge indicato, alcuni correttivi a tale proposito. Tra questi, la previsione che la sola normativa statale possa «subordinare l’esercizio di determinati diritti o libertà all’esibizione» della certificazione verde.
Tale convincimento del Garante è stato ribadito nel parere reso il 9 giugno 2021 sullo schema del d.P.C.m. previsto dall’art. 9, comma 10, del d.l. n. 52 del 2021, e concernente la realizzazione della cosiddetta piattaforma nazionale-DGC per la gestione delle certificazioni verdi, nonché le modalità di trattamento dei dati personali raccolti in riferimento al rilascio e all’impiego di tali certificazioni.
Il d.P.C.m. 17 giugno 2021 (Disposizioni attuative dell’articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, recante «Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da COVID-19») ha, infine, provveduto ad attuare l’art. 9, comma 10, del d.l. n. 52 del 2021, secondo modalità che la parte ricorrente ha integralmente recepito, modificando il punto II-C dell’Allegato A alla legge prov. Bolzano n. 4 del 2020.
4.– Il Garante ha limitato definitivamente il trattamento dei dati personali eseguito sulla base delle indicate ordinanze del Presidente della Giunta provinciale, anzitutto sulla base del rilievo, contenuto nel Punto 1 del provvedimento oggetto del conflitto, per il quale «[l]a limitazione delle libertà personali effettuata anche attraverso il trattamento di dati sulla salute degli interessati e realizzata mediante la previsione di subordinare l’accesso a luoghi o servizi al possesso di una certificazione […] è ammissibile solo se prevista da una norma di legge statale».
In secondo luogo, il Garante ha individuato punti di contrasto tra la disciplina recata dal d.P.C.m. 17 giugno 2021, e quella contenuta nelle ordinanze in oggetto. In particolare, è opinione dello stesso Garante, espressa nel punto 2 del medesimo provvedimento, che solo l’impiego della cosiddetta piattaforma nazionale-DGC assicura «l’esattezza e l’aggiornamento dei dati», «nonché la possibilità per l’interessato di utilizzare la predetta certificazione su tutto il territorio nazionale».
Tali considerazioni sono state riprodotte nella nota del 6 luglio 2021, anch’essa oggetto di conflitto, trasmessa anche alla Provincia ricorrente, con la quale la richiamata autorità indipendente ha invitato a «soprassedere» dall’utilizzo di certificazioni verdi con modalità differenti da quelle previste dalla normativa statale.
5.– La Provincia ricorrente dà conto dei poteri propri del Garante, e dell’evoluzione della normativa sovranazionale in tema di certificazione verde, culminata con l’approvazione del regolamento (UE) n. 2021/953 del Parlamento europeo e del Consiglio, del 14 giugno 2021, su un quadro per il rilascio, la verifica e l'accettazione di certificati interoperabili di vaccinazione, di test e di guarigione in relazione alla COVID-19 (certificato COVID digitale dell’UE) per agevolare la libera circolazione delle persone durante la pandemia di COVID-19, che darebbe conferma della legittimità delle ordinanze assunte dal Presidente della Giunta provinciale.
Ciò premesso, la Provincia autonoma di Bolzano afferma che i citati provvedimenti del Garante ne abbiano menomato le competenze statutarie, poiché «in forza dell’art. 8 dello Statuto la Provincia autonoma di Bolzano ha competenza legislativa esclusiva nelle [seguenti] materie: ordinamento degli uffici provinciali e del personale a essi addetto (n. l); artigianato (n. 9); fiere e mercati (n. 12); opere di prevenzione e di pronto soccorso per calamità pubbliche (n. 13); comunicazioni e trasporti di interesse provinciale (n. 18); assunzione diretta di servizi pubblici e loro gestione a mezzo di aziende speciali (n. 19); turismo e industria alberghiera (n. 20); agricoltura e foreste (n. 21); assistenza e beneficenza pubblica (n.25); scuola materna (n. 26); addestramento e formazione professionale (n. 29)».
Inoltre, «in forza dell’art. 9 dello stesso Statuto essa ha competenza legislativa concorrente nelle materie: istruzione elementare e secondaria (n. 2); commercio (n. 3); apprendistato (n. 4); spettacoli pubblici per quanto attiene alla pubblica sicurezza (n. 6); esercizi pubblici (n. 7); incremento della produzione industriale (n. 8); igiene e sanità, ivi compresa l’assistenza sanitaria e ospedaliera (n. 10); attività sportive e ricreative (n. 11)».
Sarebbe oggetto di particolare menomazione la sfera di competenza attinente alla tutela della salute, che la Provincia autonoma vanta in forza dell’art. 10 della legge costituzionale 18 ottobre 2001, n. 3 (Modifiche al titolo V della parte seconda della Costituzione), tanto più che il servizio sanitario provinciale si autofinanzia, ai sensi dell’art. 34, comma 3, della legge 23 dicembre 1994, n. 724 (Misure di razionalizzazione della finanza pubblica).
Sarebbe, infatti, da escludere che la certificazione verde attenga alla materia di competenza esclusiva dello Stato della profilassi internazionale, «perché il fine della stessa è quello di garantire il diritto fondamentale alla libera circolazione».
6.– La Provincia autonoma di Bolzano lamenta, anzitutto, che il Garante abbia ecceduto dalle proprie competenze, in quanto «spetta unicamente al Governo denunciare alla Corte costituzionale eventuali presunte violazioni» del riparto delle attribuzioni costituzionali. Diversamente, il provvedimento del Garante sarebbe fondato «unicamente su asseriti difetti di competenza della Provincia autonoma».
Perciò, gli atti impugnati sarebbero «invasivi perché travalicano i limiti delle funzioni attribuite al Garante per la protezione dei dati personali, posto che non spetta allo stesso […] giudicare sulle competenze della Provincia, potere questo spettante unicamente al Governo in forza del combinato disposto dell’articolo 97 dello Statuto speciale di autonomia e dell’articolo 2 del decreto legislativo 16 marzo 1992, n. 266».
Gli atti oggetto del conflitto avrebbero così menomato anche la sfera di competenza del Presidente della Provincia, al quale spetta, in base all’art. 52 dello statuto di autonomia, adottare i provvedimenti contingibili e urgenti in materia di sicurezza e di igiene pubblica.
7.– Tali ordinanze – aggiunge la Provincia ricorrente – avrebbero attinenza con la competenza regionale che consente di organizzare e disciplinare una rete informativa sulle realtà regionali (viene citata la sentenza di questa Corte n. 271 del 2005).
In altri termini, la Provincia sarebbe titolata, nelle materie di propria competenza, a disciplinare «procedure e strutture che prevedono il trattamento dei dati personali, purché ciò avvenga nell’integrale rispetto della legislazione statale sulla loro protezione», come sarebbe accaduto nel caso di specie, e solo in attesa dell’entrata in vigore della normativa statale.
Perciò, la pretesa del Garante per la protezione dei dati personali di riservare alla legge statale la disciplina della certificazione verde costituirebbe ulteriore ragione di menomazione delle attribuzioni costituzionali della Provincia autonoma di Bolzano.
8.– Infine, la Provincia ricorrente contesta che la propria disciplina delle certificazioni verdi, recata dalle ordinanze del Presidente della Giunta, sia suscettibile di violare la normativa sul trattamento dei dati personali.
Infatti, non sarebbe stata creata, a tal fine, «alcuna banca dati ulteriore», né introdotto alcun trattamento di dati aggiuntivo rispetto a quello già gestito dall’azienda sanitaria competente ad attestare guarigione, vaccinazione o effettuazione di un test con esito negativo.
La lettura del certificato verde, in definitiva, non sarebbe un nuovo trattamento dei dati, «considerato che ciò che viene riprodotto, e non salvato, è una sintesi dei dati personali necessari e sufficienti a realizzare le finalità» di tutela della salute rilevanti ai sensi dell’art. 9, paragrafo 2, lettera i), del citato regolamento n. 2016/679/UE, e conformi all’art. 2 del decreto legislativo 7 marzo 2005, n. 82 (Codice dell'amministrazione digitale) e all’art. 1 della legge 7 agosto 2015, n. 124 (Deleghe al Governo in materia di riorganizzazione delle amministrazioni pubbliche). Tali dati sarebbero limitati alle generalità della persona e all’attestazione dello stato di guarigione, vaccinazione, o esecuzione di test con esito negativo. In ogni caso, l’impiego della certificazione verde è rimesso alla libera scelta dell’interessato, sicché non sarebbe stata perpetrata alcuna discriminazione, o violati i «principi di anonimizzazione e minimizzazione» dei dati personali. Reputando l’opposto, il Garante per la protezione dei dati personali avrebbe ulteriormente ecceduto dalle proprie competenze.
Considerato in diritto
1.– Con ricorso depositato il 26 agosto 2021 (reg. confl. enti n. 2 del 2021), la Provincia autonoma di Bolzano ha promosso conflitto di attribuzione nei confronti del Presidente del Consiglio dei ministri per l’annullamento, previa dichiarazione di non spettanza del potere, del provvedimento 18 giugno 2021, n. 244 (Provvedimento di limitazione definitiva in merito ai trattamenti previsti dalla Provincia autonoma di Bolzano in tema di certificazione verde per Covid 19 - 18 giugno 2021), del Garante per la protezione dei dati personali e della nota prot. n. 0035891 del 6 luglio 2021, adottata dalla medesima autorità.
Con tali atti il Garante per la protezione dei dati personali ha inciso sulla regolamentazione dell’impiego, nel territorio provinciale, delle certificazioni verdi configurate dall’art. 9 del decreto-legge 22 aprile 2021, n. 52 (Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da COVID-19), convertito, con modificazioni, in legge 17 giugno 2021, n. 87, e poi disciplinate con due ordinanze contingibili e urgenti del Presidente della Giunta provinciale.
In particolare, l’art. 9 del d.l. n. 52 del 2021 ha introdotto nell’ordinamento le certificazioni verdi COVID-19, comprovanti lo stato di avvenuta vaccinazione, o guarigione dal SARS CoV-2, o l’esecuzione di un test volto a rilevare l’eventuale positività al virus. Si è poi demandato ad un d.P.C.m., da emanare sentito il Garante, la individuazione delle specifiche tecniche per assicurare la gestione del cosiddetto green pass, mediante la Piattaforma nazionale-DGC.
Fin dal 23 aprile 2021, il Presidente della Giunta, nell’esercizio del potere assegnatoli dall’art. 52, secondo comma, del d.P.R. 31 agosto 1972, n. 670 (Approvazione del testo unico delle leggi costituzionali concernenti lo statuto speciale per il Trentino-Alto Adige), ha adottato l’ordinanza contingibile e urgente 23 aprile 2021, n. 20, recante «Ulteriori misure urgenti per la prevenzione e gestione dell’emergenza epidemiologica da COVID-19», avente efficacia fino al 31 luglio successivo, con la quale, in particolare, ha stabilito che la certificazione verde fosse requisito per l’accesso a numerosi luoghi, servizi e attività, e ne ha affidato la più compiuta regolamentazione a «specifici protocolli emanati dall’Azienda Sanitaria dell’Alto Adige o dalle altre autorità sanitarie» (punto 47).
È poi seguita l’ordinanza 21 maggio 2021, n. 23, anch’essa recante «Ulteriori misure urgenti per la prevenzione e gestione dell’emergenza epidemiologica da COVID-19», con la quale, nel ribadire tale ultima previsione, si è aggiunto che l’esibizione del green pass è richiesta dagli esercenti le attività per le quali essa è prevista (punto 46).
Il Garante, sulla base del convincimento che la disciplina della certificazione verde, in quanto implicante un trattamento dei dati personali ai sensi del regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, possa essere recata solo da una uniforme disciplina statale, con gestione per mezzo della citata Piattaforma nazionale-DGC, ha imposto alla Provincia autonoma – con provvedimento n. 244 del 2021 (adottato ai sensi dell’art. 58, paragrafo 2, lettera f), del reg. n. 2016/679/UE) – la limitazione definitiva dei trattamenti relativi all’utilizzo del green pass, eseguiti in forza delle appena citate ordinanze del Presidente della Giunta provinciale.
Con nota del 6 luglio 2021, il Garante per la protezione dei dati personali ha poi ribadito, anche con riguardo alla Provincia autonoma di Bolzano, la necessità che l’impiego della certificazione verde sia regolamentato dalla sola legge statale, e ha diffidato dall’adottare o dal dare attuazione in tale materia ad iniziative territoriali per finalità ulteriori e con modalità difformi.
2.– Entrambi tali ultimi atti del Garante sono reputati dalla Provincia ricorrente lesivi delle proprie attribuzioni statutarie, indicate dall’art. 8 dello statuto di autonomia, con riferimento all’ordinamento degli uffici provinciali e del personale a essi addetto (numero l); all’artigianato (numero 9); alle fiere e mercati (numero 12); alle opere di prevenzione e di pronto soccorso per calamità pubbliche (numero 13); alle comunicazioni e trasporti di interesse provinciale (numero 18); all’assunzione diretta di servizi pubblici e loro gestione a mezzo di aziende speciali (numero 19); al turismo e industria alberghiera (numero 20); all’agricoltura e foreste (numero 21); all’assistenza e alla beneficenza pubblica (numero 25); alla scuola materna (numero 26); all’addestramento e alla formazione professionale (numero 29).
Sarebbero state compresse anche le competenze indicate dall’art. 9 del richiamato statuto speciale, ovvero l’istruzione elementare e secondaria (numero 2); il commercio (numero 3); l’apprendistato (numero 4); gli spettacoli pubblici per quanto attiene alla pubblica sicurezza (numero 6); esercizi pubblici (numero 7); l’incremento della produzione industriale (numero 8); l’igiene e la sanità, ivi compresa l'assistenza sanitaria e ospedaliera (numero 10); l’attività sportive e ricreative (numero 11).
Peraltro, la Provincia ricorrente, quanto alla competenza in tema di igiene e sanità, precisa che ad essa spetta la più favorevole competenza assegnata alle Regioni dall’art. 117, terzo comma, della Costituzione, in materia di tutela della salute, in forza dell’art. 10 della legge costituzionale 18 ottobre 2001, n. 3 (Modifiche al titolo V della parte seconda della Costituzione).
La menomazione di un così vasto fascio di attribuzioni deriverebbe dal fatto che l’impiego del green pass, quale condizione per accedere a servizi e attività, finisce per intersecare tali ultimi oggetti, sicché il divieto di disciplinare a livello locale la certificazione verde sottrae la regolamentazione di queste materie alla Provincia autonoma.
Quest’ultima, invece, avrebbe titolo per disciplinare l’impiego del green pass a livello locale, oltre che in forza delle proprie attribuzioni in materia di tutela della salute, anche nell’ambito dell’organizzazione di una rete informativa sulle realtà regionali; prerogativa riconosciuta da questa Corte alla autonomia regionale con la sentenza n. 271 del 2005. A ciò si aggiungerebbe un conferimento di competenza in forza del diritto dell’Unione, ed in particolare del regolamento (UE) n. 2021/953 del Parlamento e del Consiglio, del 14 giugno 2021, su un quadro per il rilascio, la verifica e l'accettazione di certificati interoperabili di vaccinazione, di test e di guarigione in relazione alla COVID-19 (certificato COVID digitale dell’UE) per agevolare la libera circolazione delle persone durante la pandemia di COVID-19. Inoltre, in ragione del carattere urgente dell’intervento provinciale in materia di igiene pubblica, il Garante avrebbe menomato anche l’attribuzione del Presidente della Giunta provinciale di adottare ordinanze contingibili e urgenti nell’interesse delle popolazioni di due o più Comuni, prevista dall’art. 52, secondo comma, dello statuto di autonomia.
3.– Ciò premesso in punto di riparto delle competenze, la parte ricorrente contesta, sia che il Garante possa menomarne l’esercizio, imponendo una limitazione definitiva al trattamento di dati che finisce per vanificare l’effettiva applicazione della normativa provinciale in tema di certificazione verde, sia che il Garante possa sostituirsi al Governo della Repubblica nell’esercizio delle attribuzioni proprie solo di quest’ultimo, ai sensi dell’art. 97 dello statuto di autonomia e dell’art. 2 del decreto legislativo 16 marzo 1992 n. 266 (Norme di attuazione dello statuto speciale per il Trentino-Alto Adige concernenti il rapporto tra gli atti legislativi statali e leggi regionali e provinciali, nonché la potestà statale di indirizzo e coordinamento), in punto di impugnativa della legislazione provinciale innanzi a questa Corte.
Sempre secondo il ricorrente, non spetterebbe in nessun caso al Garante per la protezione dei dati personali, sotto tale profilo, affermare che la regolamentazione del green pass competa alla sola normativa statale.
Aggiunge altresì che sarebbero erronee le ulteriori considerazioni svolte negli atti oggetto del conflitto, in riferimento al fatto che la disciplina provinciale della certificazione verde costituisca un trattamento di dati personali senza assicurare il rispetto dei principi di esattezza e di integrità e riservatezza dei dati trattati; ciò in difformità dal d.P.C.m. 17 giugno 2021 (Disposizioni attuative dell’articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, recante « Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da COVID-19»), con il quale si è disciplinata la Piattaforma nazionale-DGC, in attuazione dell’art. 9, comma 10, del d.l. n. 52 del 2021.
4.– Anzitutto va precisato che le ordinanze contingibili e urgenti, sulle quali hanno inciso gli atti oggetto di conflitto, hanno previsto di esaurire la propria efficacia al 31 luglio 2021.
Prima ancora, peraltro, la Provincia autonoma di Bolzano ha integralmente recepito la normativa statale in tema di green pass contenuta nel richiamato d.l. n. 52 del 2021 e nel d.P.C.m. 17 giugno 2021, per mezzo della delibera di Giunta 29 giugno 2021, n. 571, recante «Modifiche all’allegato A della legge provinciale dell’8.05.2020, n. 4), da ultimo aggiornato con deliberazione della Giunta provinciale n. 549 del 22.06.2021», che ha interpolato in tal senso il punto II-C dell’Allegato A alla legge della Provincia autonoma di Bolzano 8 maggio 2020, n. 4 (Misure di contenimento della diffusione del virus SARS-COV-2 nella fase di ripresa delle attività).
Tali circostanze non incidono, tuttavia, sul persistente interesse alla decisione del presente conflitto, in quanto finalizzato all’accertamento del riparto costituzionale delle attribuzioni, per porre fine ad una situazione di incertezza in ordine a quest’ultimo (ex plurimis, sentenza n. 255 del 2019).
5.– Gli atti impugnati possono quindi divenire oggetto di un conflitto intersoggettivo, in quanto il Garante per la protezione dei dati personali, pur nella «peculiare collocazione» che connota le autorità indipendenti, conserva carattere nazionale (sentenza n. 88 del 2009, con riferimento all’Autorità per l’energia elettrica e il gas) e in tale qualità esercita anche nei confronti delle autonomie regionali e speciali funzioni attribuibili alla sfera di competenza esclusiva dello Stato in tema di ordinamento civile, ai sensi dell’art. 117, secondo comma, lettera l), Cost. (sentenze n. 177 del 2020 e n. 271 del 2005).
Sulla base di tale presupposto, peraltro, questa Corte ha già riconosciuto che il conflitto di attribuzione può vertere su atti adottati dalla Banca d’Italia (sentenze n. 17 del 2020 e n. 102 del 1995) e dall’Ordine professionale degli esercenti le professioni sanitarie (sentenza n. 259 del 2019), in quanto, ai fini del conflitto, lo Stato viene in rilievo «non come persona giuridica, bensì come sistema ordinamentale (sentenza n. 72 del 2005) complesso e articolato, costituito da organi, con o senza personalità giuridica, ed enti distinti dallo Stato in senso stretto, ma con esso posti in rapporto di strumentalità in vista dell’esercizio, in forme diverse, di tipiche funzioni statali» (sentenza n. 31 del 2006).
6.– Nel merito, il conflitto non è fondato.
L’art. 58, paragrafo 2, lettera f), del regolamento n. 2016/679/UE attribuisce alle «autorità di controllo» di tutti gli Stati membri – e quindi, per l’Italia, al Garante per la protezione dei dati personali – il potere di «imporre una limitazione provvisoria o definitiva del trattamento [dei dati personali], incluso il divieto di trattamento». È sulla base di questa disposizione che il Garante ha adottato il provvedimento 18 giugno 2021, n. 244, oggetto del presente conflitto, con il quale ha imposto alla Provincia autonoma di Bolzano e all’Azienda sanitaria dell’Alto Adige la limitazione definitiva dei trattamenti relativi all’utilizzo delle certificazioni verdi effettuati in attuazione delle citate ordinanze del Presidente della Provincia autonoma di Bolzano.
Nel caso concreto, pertanto, non si ravvisa l’esercizio, da parte del Garante, di «un potere radicalmente diverso da quello attribuito dalla legge» (sentenze n. 164 del 2021, n. 255 del 2019, n. 10 del 2017, n. 260 e n. 104 del 2016), bensì il puntuale esercizio di un potere specificamente attribuito allo stesso da un atto dell’Unione direttamente applicabile nell’ordinamento italiano. La limitazione delle competenze regionali o provinciali che ne dovesse conseguire troverebbe fondamento e giustificazione direttamente nel diritto dell’Unione europea, nella misura in cui il provvedimento del Garante sia stato adottato in presenza dei presupposti e nel rispetto dei limiti stabiliti dal regolamento n. 2016/679/UE, la cui verifica è affidata, nell’ordinamento italiano, al giudice ordinario, ai sensi dell’art. 152 del decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE).
Analoghe considerazioni valgono con riferimento al secondo provvedimento oggetto del conflitto – la nota prot. n. 0035891 del 6 luglio 2021, con la quale il Garante ha rappresentato alle Regioni e alle Province autonome di Trento e Bolzano la necessità di soprassedere dall’adottare o dal dare attuazione ad iniziative territoriali che prevedano l’uso delle certificazioni verdi per finalità ulteriori e con modalità difformi rispetto a quelle espressamente previste dalla legge statale – riconducibile al potere conferito al Garante dall’art. 58, paragrafo 2, lettera a), del citato regolamento n. 2016/679/UE di rivolgere avvertimenti al titolare o al responsabile del trattamento sul fatto che gli stessi possono verosimilmente violare le disposizioni del medesimo regolamento.
7.– Per altro verso, giova sottolineare che la disciplina del green pass è estranea all’ambito di competenze poste dalla ricorrente alla base del conflitto.
Questa Corte ha già affermato che va ricondotta alla competenza esclusiva statale in tema di profilassi internazionale (art. 117, secondo comma, lettera q, Cost.), «ogni misura atta a contrastare una pandemia sanitaria in corso, ovvero a prevenirla», poiché non vi può essere in definitiva alcuno spazio di adattamento della normativa statale alla realtà regionale, che non sia stato preventivamente stabilito dalla legislazione statale; unica competente sia a normare, la materia in via legislativa e regolamentare, sia ad esercitare la relativa funzione ammnistrativa, anche in forza, quanto alle autonomie speciali, del perdurante principio del parallelismo (sentenza n. 37 del 2021).
Non vi è dubbio che la certificazione verde abbia la finalità di limitare la diffusione del contagio, consentendo l’interazione tra persone in luoghi pubblici o aperti al pubblico solo se quest’ultime, in quanto vaccinate, guarite, o testate con esito negativo al COVID-19, si offrano a vettori della malattia con un minor tasso di probabilità.
A fronte di tale obiettivo, la competenza provinciale in tema di tutela della salute è recessiva (sentenza n. 37 del 2021).
Tantomeno la Provincia autonoma di Bolzano può a buon titolo appellarsi al margine di intervento riconosciuto alla autonomia regionale dalla sentenza n. 271 del 2005 di questa Corte. Tale margine di intervento non è configurato con riguardo alla attribuzione di «organizzare e disciplinare a livello regionale una rete informativa sulle realtà regionali», sia perché essa presuppone a monte che tale intervento avvenga con riferimento a «materie di propria competenza legislativa», ciò che nel caso di specie si è già negato essere, sia perché è evidente che la gestione dei dati che ineriscono ad una pandemia sanitaria globale trascende nettamente il respiro della sfera decentrata, per esigere, invece, una uniforme disciplina statale.
Entro tali coordinate, è meramente indiretto l’effetto di compressione che il green pass può produrre, quanto alle ulteriori competenze statutarie dedotte con il ricorso; e ciò nel senso che la certificazione verde non ha per oggetto queste ultime, ma le condizioni di profilassi internazionale che impongono, per ragioni sanitarie, limitazioni all’accesso ad attività e servizi normati dalla legislazione provinciale.
La sentenza n. 37 del 2021 ha aggiunto che tali conclusioni valgono anche con riguardo all’esercizio del potere di adottare ordinanze contingibili e urgenti in materia sanitaria. Del resto, l’art. 52, secondo comma, dello statuto di autonomia, attribuendo al Presidente della Giunta un potere emergenziale «nell’interesse delle popolazioni di due o più Comuni», conferma, in accordo con il limite territoriale, che si tratta di un’attribuzione calibrata su crisi sanitarie di carattere non pandemico o comunque i cui effetti possano ancora reputarsi circoscritti a tale ambito limitato; mentre, nel caso del nuovo coronavirus, è palese il carattere globale della pandemia, e, quindi, la necessità di interventi assunti dalla competente autorità centrale.
8.– Né può ritenersi che, in tema di green pass, le attribuzioni costituzionali e statutarie della Provincia autonoma di Bolzano trovino aggancio in «fonti di rango sub-costituzionale».
Difatti, l’art. 9, comma 10-bis, del d.l. n. 52 del 2021, come convertito, stabilisce che «[o]gni diverso o nuovo utilizzo delle certificazioni verdi COVID-19 è disposto esclusivamente con legge dello Stato», così confermando espressamente, con previsione aggiunta in sede di conversione in legge, quanto già deducibile dal comma 10 precedente, che affida la regolamentazione della richiamata Piattaforma nazionale-DGC ad un d.P.C.m., per la cui adozione non è neppure previsto che sia coinvolto il sistema delle autonomie regionali.
Inoltre, va escluso che l’intervento provinciale sulla certificazione verde possa trovare supporto nell’art. 1, comma 16, del decreto-legge 16 maggio 2020, n. 33 (Ulteriori misure per fronteggiare l’emergenza epidemiologica da COVID-19), convertito, con modificazioni, nella legge 14 luglio 2020, n. 74, che ammette l’introduzione, da parte delle Regioni e a rigorose condizioni, delle sole misure derogatorie restrittive descritte – in conformità al principio di legalità in senso sostanziale (sentenza n. 198 del 2021) – dall’art. 1 del decreto-legge 25 marzo 2020, n. 19 (Misure urgenti per fronteggiare l’emergenza epidemiologica da COVID-19), convertito, con modificazioni, nella legge 27 maggio 2020, n. 35.
9.– Ne consegue che l’affermazione posta a base dell’odierno conflitto, secondo la quale il Garante avrebbe menomato l’esercizio di una competenza costituzionale o statutaria della Provincia autonoma, limitando il trattamento dei dati personali legato al green pass, non ha fondamento. Ciò comporta il rigetto del ricorso, perché la Provincia «non è titolare di attribuzione proprie in tale ambito» (sentenza n. 196 del 2009).
10.– Infine, la Provincia ricorrente lamenta che gli atti oggetto del conflitto si porrebbero in contrasto con l’art. 97 dello statuto di autonomia e con l’art. 2 del d.lgs. n. 266 del 1992, perché con essi il Garante, affermando che la disciplina della certificazione verde compete alla sola normativa statale, si sarebbe surrogato al Governo della Repubblica impugnando la legislazione provinciale innanzi a questa Corte e così menomando l’autonomia speciale.
Per tale verso, il conflitto va rigettato anche in ragione della inidoneità dei parametri indicati a sorreggere la censura. Essi si riferiscono al promovimento, da parte del Presidente del Consiglio dei ministri, di questioni di legittimità costituzionale vertenti sulle leggi della Provincia autonoma di Bolzano, mentre, nel caso di specie, il Garante ha esercitato i poteri che gli competono su due ordinanze contingibili e urgenti del Presidente della Giunta, per di più relative ad un oggetto ignoto alla legislazione provinciale (è evidente l’estraneità della certificazione verde al contenuto della legge prov. Bolzano n. 4 del 2020, erroneamente richiamata dalla ricorrente, il cui Allegato II-C, nel testo anteriore alle delibere di Giunta afferenti al green pass, si limitava a istituire la cosiddetta «Covid protected area»).
D’altro canto, la contestata affermazione del Garante per la protezione dei dati personali, in ordine alla necessità che la certificazione verde poggi sulla sola normativa statale, intende limitarsi ad un giudizio di esorbitanza degli atti provinciali rispetto alle attribuzioni statutarie; peraltro, quale mero riflesso di una valutazione attinente a profili di omogeneità del trattamento, in relazione alla esattezza, alla integrità e alla riservatezza dei dati trattati.
Non è perciò ravvisabile, anche nel caso concreto, l’esercizio, da parte del Garante, di un potere radicalmente diverso da quello attribuito dalla legge (sentenze n. 164 del 2021, n. 255 del 2019, n. 10 del 2017, n. 260 e n. 104 del 2016).
11.– In conclusione, spetta allo Stato, e per esso al Garante per la protezione dei dati personali, limitare in via definitiva il trattamento dei dati connessi all’impiego della certificazione verde a livello provinciale, tanto più che la Provincia autonoma di Bolzano non vanta alcuna attribuzione costituzionale e statutaria in tale materia.
Per Questi Motivi
LA CORTE COSTITUZIONALE
dichiara che spetta allo Stato, e per esso al Garante per la protezione dei dati personali, adottare il provvedimento 18 giugno 2021, n. 244 (Provvedimento di limitazione definitiva in merito ai trattamenti previsti dalla Provincia autonoma di Bolzano in tema di certificazione verde per Covid 19 - 18 giugno 2021) e la nota 6 luglio 2021, prot. n. 0035891, con le quali, rispettivamente, si è limitato in via definitiva il trattamento dei dati personali connesso alla certificazione verde, come regolato dalle ordinanze del Presidente della Giunta della Provincia autonoma di Bolzano 23 aprile 2021, n. 20 e 21 maggio 2021, n. 23, e si è invitata la medesima Provincia autonoma a non introdurre un uso delle certificazioni verdi COVID-19 difforme da quello previsto dalla legge statale.
Così deciso in Roma, nella sede della Corte costituzionale, Palazzo della Consulta, il 24 maggio 2022.
F.to:
Giuliano AMATO, Presidente
Augusto Antonio BARBERA, Redattore
Roberto MILANA, Direttore della Cancelleria
Depositata in Cancelleria il 30 giugno 2022.