Il GDPR e la conservazione degli archivi privati
- Archivio
- Marzo 5, 2019
Lo scorso 30 gennaio a Roma, presso il Collegio Romano, si è svolta la giornata di studi dal titolo “La conservazione archivistica nell’era del GDPR: il nodo degli archivi privati e dei dati penali” organizzata dalla Direzione generale per gli archivi, dall’Istituto centrale per gli archivi e dall’Associazione nazionale archivistica italiana.
I materiali sono pubblicati alla pagina http://www.icar.beniculturali.it/index.php?id=374, incluse le registrazioni audio e video degli interventi.
Riportiamo qui una sintesi del contributo di Francesca Blasetti.
Il tema cui la giornata di studi è dedicata riguarda l’esercizio e la garanzia di due diritti fondamentali della persona: l’uno, relativo alla protezione dei dati di carattere personale, espressamente tutelato dall’art. 8 della Carta dei diritti fondamentali della Unione europea, l’altro, alla ricerca storica, tutelato dall’art. 9 della nostra Carta costituzionale.
Il Regolamento UE 2016/679 e il nostro corrente Codice per la protezione dei dati personali prevedendo garanzie e deroghe al trattamento per fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici applicano di fatto la legge del bilanciamento tra diritti o principi costituzionali: infatti la finalità di ricerca storica, come quelle di archiviazione nel pubblico interesse, di ricerca scientifica o a fini statistici, non è ritenuta incompatibile con le diverse finalità iniziali per le quali i dati personali sono stati sottoposti a trattamento – eccezione al principio di limitazione di trattamento – ed essa legittima una conservazione dei dati stessi per periodi eccedenti il conseguimento delle finalità iniziali – eccezione al principio di limitazione della conservazione1.
Rispetto ai punti sopra evidenziati un aspetto merita particolare attenzione:
il nostro Codice, nell’elencare i trattamenti considerati di rilevante interesse pubblico effettuati da soggetti che svolgono compiti di interesse pubblico o connessi all’esercizio di pubblici poteri include:
“cc) trattamenti effettuati a fini di archiviazione nel pubblico interesse o di ricerca storica, concernenti la conservazione, l’ordinamento e la comunicazione dei documenti detenuti negli archivi di Stato, negli archivi storici degli enti pubblici, o in archivi privati dichiarati di interesse storico particolarmente importante, per fini di ricerca scientifica, nonché per fini statistici da parte di soggetti che fanno parte del sistema statistico nazionale (Sistan)” (Art. 2 – sexies c. 2)
Dunque, viene da chiedersi: sono legittimi, ai sensi della rinnovata disciplina della protezione dei dati personali, i trattamenti effettuati da organismi privati nell’ambito delle funzioni di conservazione e valorizzazione dei propri archivi storici?
L’interpretazione secondo la quale, per autorizzare il trattamento dei dati personali ai fini della ricerca storica da parte di organismi privati, è imprescindible la dichiarazione di notevole interesse storico del patrimonio documentario posseduto (artt. 13 e 14 del Codice dei beni culturali), sembra confliggere con la natura di diritto costituzionalmente tutelato propria della ricerca storica.
La nostra Costituzione, com’è noto, garantisce la libertà di esercizio dei diritti di conoscenza (art. 33).
Sulla base di tale principio, appare dunque estremamente restrittiva, se non fuorviante, un’interpretazione del concetto di trattamento a fini di ricerca storica come esclusivo appannaggio dei soggetti pubblici o di quei diversi organismi che abbiano ricevuto un imprimatur da parte di una pubblica autorità (la dichiarazione di notevole interesse storico).
La ricerca storica è libera e questo principio costituzionale comporta che i soggetti privati possano eseguire attività di ricerca senza limitazione alcuna rispetto al materiale disponibile.
Il Regolamento europeo, quindi, non può essere interpretato in modo da limitare tale diritto.
L’unica limitazione di cui tenere conto, e che rappresenta il faro guida per tutti i trattamenti di dati personali perseguibili in maniera lecita è rappresentata dalla salvaguardia dei diritti e delle libertà degli interessati.
Il Regolamento, infatti, prevede che:
“Il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici è soggetto a garanzie adeguate per i diritti e le libertà dell’interessato, in conformità del presente regolamento. Tali garanzie assicurano che siano state predisposte misure tecniche e organizzative, in particolare al fine di garantire il rispetto del principio della minimizzazione dei dati […]” (art. 89, par. 1).
Nel Regolamento sono molteplici i richiami all’adozione di “misure tecniche e organizzative adeguate”, tenuto conto dell’ambito di applicazione, del contesto, delle finalità del trattamento e in relazione ai rischi rilevabili per i diritti e le libertà delle persone fisiche (cfr. artt. 25 e 32).
Qui trova il suo fondamento il principio dell’accountability e qui sta la chiave per discernere e dimostrare la liceità di ogni tipo di trattamento, tra cui quelli a fini di ricerca storica.
Diviene, quindi, condizione imprescindibile per le Organizzazioni dotarsi di sistemi documentali scientificamente fondati, atti a consentire un consapevole controllo dei dati e delle informazioni trattate e dei flussi documentali che li veicolano, garantendo la gestione di documenti autentici, affidabili, integri e usabili per tutto il loro ciclo di vita, dalla fase di formazione a quella di conservazione.
Risalta, dunque, la funzione strategica della gestione documentale all’interno di una Organizzazione e del ruolo di archivisti e records manager nel progettare ed attuare il complesso di regole, procedure e strumenti archivistici e tecnologici imprescindibili per assicurare la qualità del patrimonio informativo prodotto e gestito a garanzia dell’esercizio degli interessi legittimi e dei diritti di diversa natura dei terzi (accesso, protezione dei dati personali, informazione e cronaca, ricerca storica etc.) più o meno prevalenti in base alla fase di vita dei documenti.
La conservazione dei documenti inizia sin dalla fase di formazione: per poter ben conservare devo aver attuato una gestione documentale di qualità nelle fasi a monte.
Per comprovare la legittimità della conservazione di dati personali all’interno del proprio patrimonio storico-documentario un’impresa deve fare affidamento:
- su strumenti di gestione documentale che consentano una organizzazione dei documenti prodotti in relazione ai diversi affari e attività;
- su una selezione preordinata dei documenti rispetto al loro valore (giuridico-probatorio, amministrativo-gestionale e storico-culturale).
Questa metodologia e questi strumenti sono conformi al principio di data protection by design e by default.
Dunque, se un’azienda o qualsiasi altro soggetto privato, come anche pubblico, applica questi principi al proprio sistema documentario sin dalla fase corrente avrà a disposizione nel futuro un patrimonio informativo facilmente gestibile anche per finalità di ricerca storica e valorizzazione culturale.
Questo approccio consente di documentare le misure tecniche e organizzative adottate per gestire i flussi informativi trattati, con specifico riguardo ai dati personali acquisiti, in modo tale da consentirne l’utilizzazione anche per finalità di ricerca storica nel rispetto dei diritti, della dignità e delle libertà fondamentali delle persone interessate.
