L’articolo 158, comma 3, del Codice Privacy attribuisce al Garante per la protezione dei dati personali la facoltà di avvalersi, ove necessario, della collaborazione di altri organi dello Stato per lo svolgimento dei propri compiti istituzionali. Nella prassi, questa collaborazione si è tradotta prevalentemente nell’impiego del personale della Guardia di Finanza, che svolge da anni una funzione essenziale nell’attività ispettiva dell’Autorità.
Il cambiamento dello scenario impone però una riflessione più ampia.
È ancora sufficiente affidare la collaborazione operativa a un solo Corpo dello Stato? Oppure il momento storico suggerisce l’opportunità di costruire un sistema più articolato, nel quale il Garante possa avvalersi in modo sistematico e strutturato anche delle competenze dell’Arma dei Carabinieri e della Polizia di Stato?
La questione non riguarda la sostituzione di modelli esistenti – che hanno dimostrato efficacia – ma piuttosto il rafforzamento della capacità complessiva dello Stato di proteggere i diritti e le libertà fondamentali delle persone nell’ecosistema digitale.
Una norma concepita per essere flessibile
Quando il legislatore ha scritto l’art. 158, comma 3 del Codice Privacy non ha indicato un Corpo specifico con cui il Garante dovesse collaborare e quindi non ha cristallizzato un modello operativo.
Ha scelto, invece, una formula volutamente ampia: l’Autorità può avvalersi, ove necessario, della collaborazione di altri organi dello Stato.
Questa apertura è certamente ponderata e voluta.
La protezione dei dati personali è, per sua natura, trasversale: attraversa la sicurezza pubblica, la giustizia, la sanità, il lavoro, la finanza, i trasporti, l’innovazione tecnologica, la pubblica amministrazione.
Nessun organo, da solo, può presidiare un territorio così vasto né possedere tutte le competenze necessarie per affrontare minacce che cambiano continuamente forma.
L’art. 158, comma 3 è quindi una norma di flessibilità istituzionale che dice:
- al Garante: non sei solo;
- allo Stato: metti a disposizione dell’Autorità Garante le tue migliori risorse, quando la protezione dei diritti lo richiede;
- ai cittadini: la protezione dei vostri dati non dipende da un unico presidio, ma può contare, almeno in potenza, sull’intero apparato pubblico.
L’art. 158, comma 3 del Codice Privacy è, quindi, una norma che non definisce un organigramma ma un principio: la protezione dei dati è un compito che lo Stato deve saper svolgere in modo integrato.
Il modello storico Garante-Guardia di Finanza: un successo che forse non basta più
Nella prassi, l’art. 158, comma 3 del Codice Privacy è stato applicato soprattutto attraverso la collaborazione con la Guardia di Finanza, in particolare con il Nucleo Speciale Tutela Privacy e Frodi Tecnologiche. È stato un modello efficace, che ha permesso al Garante di:
- svolgere ispezioni complesse presso grandi aziende e pubbliche amministrazioni;
- verificare il rispetto delle norme;
- raccogliere evidenze documentali e digitali;
- accertare violazioni;
- supportare l’attività sanzionatoria.
Questa collaborazione ha rappresentato, per anni, un esempio di sinergia istituzionale che ha:
- dato concretezza ai poteri del Garante;
- reso credibile il sistema;
- costruito un patrimonio di esperienza che non deve essere disperso.
Ma il successo di un modello non coincide con la sua autosufficienza.
La Guardia di Finanza è, per missione istituzionale, una polizia economico-finanziaria che eccelle nel seguire i flussi di denaro, nel leggere bilanci, nel ricostruire architetture societarie e nel contrastare frodi e illeciti fiscali. È meno naturale, per storia e struttura, che sia l’unico pilastro operativo chiamato a gestire:
- violazioni della privacy in contesti di vulnerabilità sociale (minori, vittime di violenza, persone fragili);
- furti di identità finalizzati a reati predatori o cyber-stalking;
- videosorveglianza selvaggia in quartieri degradati;
- compromissioni di infrastrutture critiche nazionali;
- attacchi ransomware a ospedali, ministeri, enti locali;
- sistemi di intelligenza artificiale che discriminano lavoratori o cittadini.
Inoltre, il volume di notifiche di data breach e di reclami dei cittadini ha raggiunto livelli tali da mettere sotto pressione le capacità operative di un singolo Nucleo Speciale.
La concentrazione delle deleghe ispettive su un solo Corpo rischia di determinare tempi di risposta non sempre coerenti con l’urgenza che caratterizza la gestione degli incidenti nel sistema delineato dal GDPR.
La questione, quindi, non è mettere in discussione il valore della Guardia di Finanza ma riconoscere che, da sola, forse non può più reggere l’intera architettura operativa del Garante.
Lo scenario macro-geopolitico: Le nuove potenze asimmetriche
Il cittadino contemporaneo si trova immerso in un ecosistema in cui i tradizionali confini della sovranità statale mostrano evidenti segni di erosione.
Le minacce alla libertà delle persone non provengono più soltanto dal delinquente informatico comune o dall’azienda locale che abusa del marketing diretto ma anche da attori globali dotati di una potenza d’urto inedita.
Gli Stati sovrani e le guerre ibride
Sempre più spesso, attori statali o para-statali utilizzano le campagne di esfiltrazione di dati personali come armi di destabilizzazione geopolitica.
Il furto di dati sanitari, delle anagrafi e delle preferenze politiche non è finalizzato alla monetizzazione diretta ma allo spionaggio e all’ingegneria sociale.
Attraverso la profilazione psicometrica di intere popolazioni, potenze straniere sono in grado di orientare il dibattito pubblico, manipolare i processi elettorali e minare la fiducia nelle istituzioni democratiche.
Di fronte a minacce di questa portata, la sanzione amministrativa del Garante diventa un’arma spuntata, se non è supportata da una struttura di contrasto di intelligence e controspionaggio.
Le multinazionali e la sovranità tecnologica
Alcune Big Tech hanno accumulato un potere informativo e un fatturato che supera nettamente il Prodotto Interno Lordo di molti Stati sovrani.
Queste multinazionali dettano le regole dello spazio pubblico digitale, decidono quali idee possono circolare e operano una sorveglianza predittiva e costante sui comportamenti umani.
La loro capacità di influenzare le decisioni governative e di aggirare le legislazioni nazionali pone un problema di tenuta costituzionale: chi protegge il cittadino da un’entità privata che controlla la sua identità digitale, le sue comunicazioni e le sue risorse economiche?
La protezione dei dati non è solo compliance ma è soprattutto difesa della libertà
Il dato personale è diventato quindi un’infrastruttura critica; conseguentemente è cambiata la natura stessa della protezione dei dati.
Non si tratta più soltanto di garantire la compliance dei trattamenti ma di difendere:
- la continuità dei servizi essenziali (sanità, energia, trasporti, finanza);
- l’integrità delle banche dati pubbliche (anagrafi, sistemi fiscali, registri giudiziari);
- la resilienza delle istituzioni democratiche (processi elettorali, dibattito pubblico, fiducia nelle amministrazioni);
- la dignità e i diritti e le libertà fondamentali degli esseri umani.
La compromissione dei dati personali, oltre a produrre conseguenze giuridiche o amministrative, può incidere sulla salute, sull’identità, sull’autodeterminazione e sulla libertà delle persone.
Un attacco informatico può interrompere servizi essenziali, la violazione di grandi archivi pubblici può compromettere la fiducia nei sistemi istituzionali e l’utilizzo massivo delle informazioni personali può diventare uno strumento di influenza e di controllo.
Per questa ragione, la protezione dei dati non può essere considerata una semplice questione di compliance ma va riconosciuta come una componente essenziale della protezione della persona e dell’ordinamento democratico.
In questo scenario, il Garante non può essere ridotto al ruolo di “autorità che multa dopo” ma dovrebbe diventare un attore della sicurezza nazionale, capace di:
- leggere le minacce;
- attivare rapidamente le competenze giuste;
- coordinare interventi che coinvolgono più corpi dello Stato;
- trasformare le risultanze tecniche in provvedimenti che proteggono concretamente le persone.
L’art. 158, comma 3 del Codice Privacy è il fondamento giuridico che consente questa evoluzione perché permette al Garante di non restare chiuso nel perimetro amministrativo ma di innestarsi nella più ampia architettura di difesa del Paese.
Perché oggi serve un salto di scala
Se mettiamo insieme tutti questi elementi – limiti del monopolio operativo della GdF, metamorfosi del dato, complessità delle minacce, natura trasversale della protezione dei dati – il quadro appare chiaro: il modello attuale non basta più ma serve un salto di scala, che non è solo organizzativo ma anche culturale. Bisognerebbe passare:
- dal dato come oggetto di adempimento al dato come infrastruttura di libertà;
- dal Garante come autorità sanzionatoria al Garante come nodo di sicurezza nazionale;
- dal monopolio operativo di un solo Corpo di Polizia a un sistema multi-organo integrato;
- dalla logica del “controllo ex post” alla logica della prevenzione, della resilienza, della deterrenza.
L’articolo 158, comma 3, del Codice Privacy non è una disposizione in attesa di essere reinterpretata ma è una facoltà che il legislatore ha già messo a disposizione del sistema e che può essere valorizzata nella sua piena estensione.
La norma consente infatti al Garante di attingere, quando le circostanze lo richiedono, al patrimonio di competenze presente nelle diverse articolazioni dello Stato, integrando, ad esempio, l’esperienza della Guardia di Finanza con le capacità investigative, territoriali e specialistiche dell’Arma dei Carabinieri e della Polizia di Stato.
In un contesto nel quale i dati personali sono diventati una componente essenziale della libertà individuale, della sicurezza economica e della resilienza democratica, una protezione costruita sulla cooperazione tra competenze complementari può aspirare a essere realmente adeguata alle minacce del nostro tempo.
Conclusioni: una norma in attesa di essere pienamente esercitata
L’art. 158, comma 3 del Codice Privacy è una norma lungimirante perché, pur essendo stata scritta in un’epoca in cui il dato era ancora percepito come un oggetto amministrativo, oggi è perfettamente adatta a un’epoca in cui il dato è diventato il baricentro della sicurezza nazionale e della libertà individuale.
Per anni, questa norma è stata interpretata in modo restrittivo, quasi come se autorizzasse un solo modello di collaborazione, quello con la Guardia di Finanza.
Oggi forse è il momento di restituirle tutta la sua ampiezza: non come strumento di emergenza ma come architrave di un sistema operativo multi-organo, in cui il Garante governa, coordina, integra le migliori competenze dello Stato.
La protezione dei dati non è più un tema per addetti ai lavori ma una frontiera invisibile della democrazia e una democrazia che non sa proteggere i dati dei suoi cittadini è una democrazia esposta, vulnerabile, ricattabile.
Per questo motivo, la domanda da porsi oggi non è più se il Garante possa avvalersi di altri organi dello Stato ma se possa permettersi di non farlo.
Nel prossimo articolo analizzeremo proprio questo: perché il modello operativo fondato sulla sola Guardia di Finanza, pur prezioso e meritorio, non appare più sufficiente a reggere il peso delle nuove minacce, e perché sembra necessario attivare in modo sistematico anche l’Arma dei Carabinieri e la Polizia di Stato.
