La legge della Regione Puglia 15 giugno 2023, n. 13, “Disposizioni per prevenire e contrastare condotte di maltrattamento o di abuso, anche di natura psicologica, in danno di anziani e persone con disabilità e modifica alla legge regionale 9 agosto 2006, n. 26 (Interventi in materia sanitaria)”, reca all’art. 3 disposizioni in tema di installazione di sistemi di videosorveglianza che si pongono in violazione dell'art. 117, comma 1 e comma 2, lett. l), della Costituzione, in ordine alla competenza esclusiva statale in materia di ordinamento civile e penale ed ai vincoli derivanti dall’ordinamento comunitario.

In particolare, l’art. 3 della legge della Regione Puglia 15 giugno 2023, n. 13, legittima le strutture private socio-sanitarie e socio-assistenziali a carattere residenziale, semiresidenziale o diurno, all’autonoma installazione di sistemi di videosorveglianza.
La disciplina regionale, che interviene in materia di ordinamento civile (cui la Corte costituzionale, con sent. 271 del 2005, ha ricondotto la normativa di protezione dati), si presenta come disallineata con i principi e la stessa disciplina generale di protezione dati, in riferimento alle disposizioni del Regolamento (UE) n. 2016/679 (cfr. art. 117, commi primo e secondo, lett. l), Cost., nonché Corte costituzionale, sent. n. 271 del 2005), nonché al decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101. Non viene infatti puntualmente individuato il plesso normativo di riferimento, da rinvenirsi anche nel decreto legislativo 18 maggio 2018, n. 51, in ragione dell’attribuzione all’autorità giudiziaria della competenza all’accesso alle videoriprese. Emerge, inoltre, l’invalidità del previsto consenso al trattamento, prestato in carenza dei requisiti (in primo luogo la libertà intesa come reale opzionalità e non condizionalità) prescritti dagli artt. 4, p.1, n.11) e 7 del Reg. Ue 2016/679. La disciplina regionale, peraltro, non individua i tempi di conservazione delle videoriprese, ciò che costituisce elemento essenziale della disciplina di protezione.
La rilevata lacunosità della disciplina regionale non è compatibile con il principio di proporzionalità il cui rispetto è necessario, ai sensi degli artt. 52 Cdfue e 5, p.1, lett.c) del Regolamento Ue 2016/679, per la legittimità di una previsione normativa incidente su diritti fondamentali.
Il rispetto del principio di proporzionalità, come rilevato dal Garante per la protezione dei dati personali, non può che indurre a un’attenta riflessione sul perimetro di operatività della norma, valutando se effettivamente tutti i luoghi indicati presentino un grado di rischio adeguato a legittimare una limitazione significativa della libertà del lavoratore nell’adempimento della prestazione, assumendo parametri quali i fattori di rischio propri del contesto di riferimento, assicurando che il ricorso a uno strumento di monitoraggio così invasivo avvenga solo laddove altre misure meno limitative della riservatezza risultino inefficaci. Ogni intervento normativo in materia deve necessariamente coniugare, infatti, la tutela di soggetti in condizione di particolare vulnerabilità rispetto al rischio di abusi e violenze, l’esigenza di ricostruzione probatoria di reati per i quali nella maggior parte dei casi non si dispone di testi in grado di agevolare gli accertamenti, la libertà del lavoratore nell'adempimento della prestazione e, infine, il diritto alla protezione dei dati personali dei vari soggetti ripresi dal sistema di videosorveglianza (i lavoratori, ma anche gli stessi ospiti delle strutture di cura). Il bilanciamento dei descritti, diversi interessi in gioco con il diritto alla protezione dei dati personali è certamente devoluto allo Stato, ai sensi dell'art. 117, comma 2, lett. l), della Costituzione.
Nel normare un’attività, quale quella della videosorveglianza nelle strutture residenziali, di notevole incidenza sulle garanzie di riservatezza, la legge regionale in esame interviene al di là delle stesse competenze regionali, in un ambito riservato al legislatore statale, ex art. 117, commi primo e secondo, lettera l), della Costituzione, cui spetta declinare a livello generale i principi di protezione dati nello specifico contesto considerato e in bilanciamento con gli altri interessi giuridici in gioco.
Di tale riserva è significativa non solo la previsione, con legge statale, del fondo di cui all’art. 5-septies, comma 2, decreto-legge 18 aprile 2019, n. 32 (convertito, con modificazioni, dalla legge 14 giugno 2019, n. 55), ma anche il criterio di delega di cui all’art. 4, comma 2. lett. r), legge 23 marzo 2023, n. 33, che annovera infatti, nell’ambito dei criteri di accreditamento delle strutture di cura per anziani, oggetto di semplificazione previo parere in Conferenza unificata, “la presenza di sistemi di videosorveglianza a circuito chiuso, finalizzati alla prevenzione e alla garanzia della sicurezza degli utenti”. Tali norme dimostrano l’esigenza di una complessiva regolazione statale delle ipotesi di ammissibilità dell’installazione di sistemi di videosorveglianza in contesti residenziali di cura.
Tra la XVII e la XVIII legislatura, infatti, le Camere hanno discusso alcune proposte di legge volte precisamente a disciplinare l’utilizzo delle videoriprese nei servizi educativi e nelle scuole dell’infanzia, nonché nelle strutture socio-sanitarie e socio-assistenziali per anziani e disabili.
La legge regionale in esame, proprio per la scelta di autonoma disciplina della materia, così fortemente incidente sulle garanzie di protezione dati, non si muove nell’ambito “interstiziale” delineato dalla Corte come legittimo spazio d’intervento per il legislatore di livello sub-statale, nel rispetto peraltro della cornice normativa di riferimento e fermo restando che la protezione dei dati personali è attribuita alla competenza legislativa statale esclusiva in quanto ricondotta, dalla citata sentenza n. 271 del 2005, alla materia “ordinamento civile” (art. 117, secondo comma, lettera l), Cost), potendo le Regioni solo legiferare in maniera integrativa, nei limiti stabiliti dalla legge statale (cfr. sent. 271 del 2005 della Corte costituzionale)
Secondo la Consulta, in particolare, “la legislazione vigente” (analoga, in parte qua, a quella attuale) “prevede anche un ruolo normativo, per quanto di tipo meramente integrativo, per i soggetti pubblici chiamati a trattare i dati personali, evidentemente per la necessità, almeno in parte ineludibile, che i princìpi posti dalla legge a tutela dei dati personali siano garantiti nei diversi contesti legislativi ed istituzionali (…). In questi ambiti possono quindi essere adottati anche leggi o regolamenti regionali, ma solo in quanto e nella misura in cui ciò sia appunto previsto dalla legislazione statale. Quanto appena espresso non equivale peraltro ad affermare la incompetenza del legislatore regionale a disciplinare procedure o strutture organizzative che prevedono il trattamento di dati personali, pur ovviamente nell’integrale rispetto della legislazione statale sulla loro protezione (…): infatti le Regioni, nelle materie di propria competenza legislativa, non solo devono necessariamente prevedere l’utilizzazione di molteplici categorie di dati personali da parte di soggetti pubblici e privati, ma possono anche organizzare e disciplinare a livello regionale una rete informativa sulle realtà regionali, entro cui far confluire i diversi dati conoscitivi (personali e non personali) che sono nella disponibilità delle istituzioni regionali e locali o di altri soggetti interessati. Ciò, tuttavia, deve avvenire ovviamente nel rispetto degli eventuali livelli di riservatezza o di segreto, assoluti o relativi, che siano prescritti dalla legge statale in relazione ad alcune delle informazioni, nonché con i consensi necessari da parte delle diverse realtà istituzionali o sociali coinvolte.”.
Dal momento che nell’ambito considerato non si rinvengono disposizioni statali del tipo di quelle individuate dalla Corte, la disciplina regionale presenta profili di incompatibilità con l’art. 117, secondo comma, lett. l), della Costituzione. Né vale a superare i rilievi esposti l’affermazione, presente nella legge regionale, circa la conformità rispetto alla disciplina di protezione dei dati personali, in assenza di una formulazione della norma in concreto conforme ai parametri generali di liceità in materia (cfr. Corte cost., sent n. 271 del 2005) oltre che, peraltro, dell’individuazione del corretto plesso normativo di riferimento.
Per completezza, si ricorda che la Corte costituzionale ha chiarito altresì che nelle materie di competenza esclusiva dello Stato sono “inibiti alle Regioni interventi normativi diretti ad incidere sulla disciplina dettata dallo Stato, finanche in modo meramente riproduttivo della stessa (sentenze n. 18 del 2013, n. 271 del 2009, n. 153 e n. 29 del 2006)”.
Ancora, il comma 5 del medesimo art. 3, che prevede che le videoregistrazioni sono effettuate in modalità criptata e possono essere visionate esclusivamente dall'autorità giudiziaria, a seguito di segnalazioni da parte dei soggetti interessati, familiari o degenti, reca una disposizione che investe specifici aspetti che afferiscono all'ordinamento penale, poiché interferiscono con le prerogative dell'autorità giudiziaria (inquirente), risultando quindi in contrasto con l'art. 117, comma 2, lett. l) della Costituzione.
Pertanto, l’art. 3 della legge della Regione Puglia 15 giugno 2023, n. 13, che legittima le strutture private socio-sanitarie e socio-assistenziali a carattere residenziale, semiresidenziale o diurno, all’autonoma installazione di sistemi di videosorveglianza, reca una disciplina invasiva della competenza legislativa esclusiva dello Stato in materia di ordinamento civile (cui la Corte costituzionale, con sent. 271 del 2005, ha ricondotto la normativa di protezione dati), nonché in contrasto con i vincoli derivanti dall’ordinamento comunitario in riferimento alle disposizioni del Regolamento (UE) n. 2016/679 (cfr. art. 117, commi primo e secondo, lett. l), Cost., nonché Corte costituzionale, sent. n. 271 del 2005), eccedendo quindi le attribuzioni legislative regionali, in relazione alla disciplina di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101).

Per le ragioni sopra esposte, la legge della Regione Puglia 15 giugno 2023, n. 13, limitatamente all’articolo 3, deve essere impugnata ai sensi dell’articolo 127 della Costituzione.