Il passaggio di dati personali da un’amministrazione all’altra dello Stato va comunicato ai cittadini direttamente interessati. Se i loro dati personali sono oggetto di trattamento e trasmissione fra due amministrazione pubbliche, dunque, i cittadini ne devono essere preventivamente informati. Lo ha stabilito la Corte di Giustizia dell’Unione europea pronunciandosi su un caso sollevato dalle istituzioni della Romania.
La vicenda scaturisce dal fatto che alcuni cittadini romeni hanno contestato davanti alla Corte di Appello di Cluj il fatto che l’amministrazione tributaria romena abbia trasmesso le loro dichiarazioni dei redditi alla Cassa nazionale malattia (che ha richiesto il pagamento di contributi previdenziali arretrati): a loro avviso infatti i dati personali sarebbero stati utilizzati a fini diversi da quelli per i quali erano stati inizialmente comunicati all’amministrazione tributaria, senza che gli interessati fossero stati preventivamente informati.
Il diritto romeno consente agli enti pubblici di trasmettere dati personali alle casse malattia affinché queste ultime possano accertare la qualità di assicurato delle persone interessate. Tali dati riguardano l’identificazione delle persone (nome, cognome, indirizzo), ma non anche i redditi percepiti. La trasmissione dei dati personali da un’amministrazione all’altra si può fare senza che le persone interessate siano state informate? Questo il quesito posto alla Corte di Giustizia, per la quale invece “l’obbligo di trattamento leale dei dati personali richiede che un’amministrazione pubblica informi le persone interessate del fatto che i loro dati saranno trasmessi a un’altra amministrazione che li tratterà in qualità di destinatario”. La direttiva sul trattamento dei dati personali “stabilisce esplicitamente che ogni eventuale restrizione all’obbligo d’informazione sia adottata con disposizione legislativa”.
La legge romena che prevede la trasmissione gratuita dei dati personali alle casse malattia, prosegue la Corte, non dispensa il responsabile del trattamento dall’obbligo di informare le persone delle quali sono raccolti i dati. Questa infatti non definisce né le informazioni trasmissibili né le modalità di trasmissione, le quali figurano unicamente in un protocollo bilaterale tra l’amministrazione tributaria e la cassa nazionale. La direttiva europea inoltre stabilisce che il responsabile del trattamento dei dati informi le persone interessate delle finalità del trattamento. La Cassa nazionale malattie non ha invece informato le persone delle finalità del trattamento dati e delle categorie di dati interessate, per cui la Corte ha concluso che “il diritto dell’Unione osta alla trasmissione e al trattamento di dati personali tra due amministrazioni pubbliche di uno Stato membro se le persone interessate non ne vengono preventivamente informate”. I Cittadini devono essere preventivamente informati.
