Trattamento dati sanitari dei detenuti: parere sospeso per lacune istruttorie (Cons. Stato n. 514 del 12.03.2026)

Principi di diritto (Massima)
La disciplina regolamentare di attuazione di una norma primaria in materia di trattamento di dati personali sensibili deve essere auto applicativa, non limitandosi a ribadire principi di rango superiore o a rinviare a futuri provvedimenti attuativi la definizione di elementi essenziali. Nell’emanazione di tale disciplina è necessario acquisire il parere del Garante per la protezione dei dati personali, in ottemperanza all’art. 36, par. 4, del Regolamento (UE) 2016/679 e all’art. 24, comma 2, del d.lgs. n. 51/2018. Il termine legislativamente previsto per l’esercizio del potere regolamentare del Governo ha natura meramente sollecitatoria. L’istruttoria normativa deve considerare i detenuti affetti da patologie quali destinatari sostanziali della disciplina, ai fini della corretta valutazione dell’impatto della regolamentazione.

Il Fatto

Il Ministero della giustizia ha trasmesso al Consiglio di Stato, per il prescritto parere, lo schema di regolamento recante la disciplina del trattamento dei dati personali da parte dell’Amministrazione penitenziaria, adottato ai sensi dell’art. 6-bis, comma 5, del decreto-legge n. 92/2024, convertito con modificazioni dalla legge n. 112/2024. La norma primaria demanda al regolamento la definizione di categorie di interessati, responsabile del trattamento, operazioni di trattamento e misure a tutela dei diritti degli interessati, relativamente ai dati sanitari dei detenuti conferiti tramite interoperabilità tra i sistemi informativi SIND, SISM e SIAP/AFIS.

Il medesimo art. 6-bis, al comma 6, prevede poi un secondo provvedimento, da adottare di concerto con il Ministero della salute e sentito il Garante, per la definizione degli aspetti più squisitamente tecnici dell’interoperabilità. L’Amministrazione ha richiesto l’esenzione dall’analisi di impatto della regolamentazione (AIR), e il Consiglio di Stato è chiamato a valutare la coerenza dello schema con il quadro normativo di riferimento.

La Motivazione della Corte

La Sezione preliminarmente qualifica il termine di tre mesi previsto dall’art. 6-bis, comma 5, per l’emanazione del decreto come meramente sollecitatorio, valorizzando il consolidato orientamento sulla generale ammissibilità del potere regolamentare del Governo. L’indagine si concentra quindi sul contenuto sostanziale dello schema, rilevando una divaricazione tra la base normativa e la disciplina proposta.

Il paradigma normativo richiede che il regolamento definisca in modo compiuto le “misure appropriate e specifiche per tutelare i diritti degli interessati”. Lo schema, al contrario, risulta incompleto e in larga parte non auto applicativo, poiché la definizione di profili essenziali del trattamento è rinviata a un futuro provvedimento di cui è incerta la data di entrata in vigore. La Sezione evidenzia come l’enunciazione di principi tratti da fonti di rango superiore, come il principio di minimizzazione o il rispetto della normativa europea, non soddisfi l’esigenza di misure effettive e determini una “degradazione della fonte normativa”.

Sotto il profilo procedurale, la Sezione ritiene necessaria l’acquisizione del parere del Garante per la protezione dei dati personali, ancorché non espressamente previsto dal comma 5 dell’art. 6-bis, alla luce dell’obbligo di consultazione di cui all’art. 36, par. 4, del Regolamento (UE) 2016/679 e all’art. 24, comma 2, del d.lgs. n. 51/2018. Ciò è tanto più doveroso in considerazione della natura “doppiamente sensibile” dei dati oggetto di trattamento, relativi a patologie di soggetti detenuti.

Viene inoltre stigmatizzata la contraddizione insita nella dichiarazione di esenzione dall’AIR, che esclude i detenuti affetti da patologie dalla categoria dei destinatari diretti del provvedimento. La Sezione, al contrario, osserva come tali soggetti costituiscano i “tutelati” indiretti e i veri destinatari sostanziali della regolazione, richiedendo una rivalutazione dell’impatto e l’integrazione dell’istruttoria. La mancanza dell’AIR non consente, infine, di valutare l’effettiva portata delle operazioni di trattamento e la sostenibilità finanziaria dell’intervento, nonostante la clausola di invarianza finanziaria.

L’esito è la sospensione dell’esame del provvedimento, con l’assegnazione all’Amministrazione di specifici adempimenti istruttori: l’integrazione dello schema per renderlo auto applicativo, la corretta qualificazione del conferimento e non comunicazione dei dati al Ministero della salute, e l’acquisizione del parere del Garante.