Per oltre vent’anni la collaborazione tra il Garante per la protezione dei dati personali e la Guardia di Finanza ha rappresentato uno dei pilastri del sistema italiano di protezione dei dati personali ed ah contribuito in modo significativo all’effettività dei poteri di controllo dell’Autorità.
Tuttavia, l’evoluzione delle minacce digitali, la crescente interconnessione tra protezione dei dati, cybersecurity e sicurezza nazionale, l’espansione delle infrastrutture critiche digitali e la diffusione di sistemi di intelligenza artificiale pongono nuovi interrogativi sull’adeguatezza degli strumenti operativi oggi disponibili.
Partendo dall’articolo 158, comma 3, del Codice Privacy, che consente al Garante di avvalersi della collaborazione di altri organi dello Stato, questo contributo propone una riflessione sul possibile ruolo che competenze già presenti nell’Arma dei Carabinieri e nella Polizia di Stato potrebbero svolgere a supporto della tutela dei diritti fondamentali nell’ecosistema digitale.
Quando la complessità supera il modello: perché serve una nuova architettura operativa
Nell’articolo precedente ho mostrato come l’art. 158, comma 3, del Codice Privacy sia una norma lungimirante, pensata per permettere al Garante di mobilitare l’intero Stato quando la protezione dei diritti lo richiede.
Per anni, questa facoltà è stata esercitata quasi esclusivamente attraverso la Guardia di Finanza.
È stato, certamente, un modello efficace, che ha dato concretezza ai poteri dell’Autorità e ha costruito un patrimonio di esperienza prezioso.
Ma oggi il mondo è cambiato: le minacce non sono più lineari, né confinabili in un solo dominio e la protezione dei dati non è più un tema amministrativo ma un fronte di sicurezza nazionale.
È lecito pensare che quando la complessità supera il modello, lo stesso modello debba evolvere.
L’Arma dei Carabinieri e il valore aggiunto della “Privacy di Prossimità”
Capillarità territoriale e capillarità del dato
L’Arma dei Carabinieri si distingue per una caratteristica unica nel panorama delle Forze di Polizia europee: la capillarità assoluta della sua rete di Stazioni e Tenenze, diffuse anche nei comuni più piccoli e isolati del territorio nazionale.
Questa struttura oltre ad essere un presidio di ordine pubblico, costituisce anche un formidabile sensore sociale.
Nell’era digitale, la lesione della privacy avviene ovunque: nel piccolo Comune che installa un sistema di videosorveglianza con riconoscimento facciale, nella scuola di provincia che gestisce in modo illecito i dati degli studenti, nell’azienda locale che monitora abusivamente i dipendenti tramite software spia. Immaginare che il Nucleo Speciale della Guardia di Finanza, centralizzato a Roma o strutturato a livello di Nuclei di Polizia Economico-Finanziaria nei capoluoghi, possa intercettare o ispezionare tempestivamente queste realtà è utopistico.
Il coinvolgimento dei Carabinieri – in modo sistematico e strutturato – permetterebbe al Garante di esercitare un controllo “di prossimità”.
La Stazione dei Carabinieri potrebbe fungere da punto di raccolta locale per le segnalazioni e, previa delega e formazione specifica, da nucleo ispettivo di prima istanza per violazioni macroscopiche e diffuse sul territorio.
Il ruolo dei Reparti Speciali (Comandi Carabinieri per la Tutela del Lavoro e della Salute)
La protezione dei dati personali si interseca costantemente con i diritti dei lavoratori e la tutela della salute, ambiti in cui l’Arma vanta due reparti d’élite: il Comando Carabinieri per la Tutela del Lavoro (Ispettorato del Lavoro) e il Comando Carabinieri per la Tutela della Salute (NAS).
Il Comando Carabinieri per la Tutela del Lavoro
Il controllo a distanza dei lavoratori (art. 4 dello Statuto dei Lavoratori) è una delle aree di frizione più calde per il Garante.
I Carabinieri dell’Ispettorato del Lavoro sono già quotidianamente impegnati nelle aziende per verificare la regolarità dei contratti e la sicurezza.
Integrare le loro competenze con il potere ispettivo in materia di privacy permetterebbe di verificare contestualmente se, ad esempio, i sistemi di badge per timbrature, le telecamere a circuito chiuso o i software di log-analysis aziendali violino la normativa sulla protezione dei dati, ottimizzando i tempi ed evitando doppie ispezioni.
Comando Carabinieri per la Tutela della Salute
I dati sanitari sono classificati come “categorie particolari di dati” (art. 9 GDPR) e godono della massima protezione.
I NAS ispezionano quotidianamente ospedali, farmacie, laboratori di analisi e cliniche private.
Un protocollo operativo strutturato con il Garante consentirebbe ai NAS di verificare se i dossier sanitari elettronici siano protetti da accessi abusivi, se il consenso – quando necessario – sia raccolto correttamente o se vi siano flussi illeciti di dati clinici verso case farmaceutiche o assicurazioni.
La Polizia di Stato: la Polizia Postale e delle Comunicazioni come partner naturale
Se l’Arma dei Carabinieri rappresenta la prossimità fisica, la Polizia di Stato – e specificamente la Polizia Postale e delle Comunicazioni – rappresenta la prossimità virtuale e la competenza tecnologica di frontiera.
La Polizia Postale è l’organo dello Stato deputato per antonomasia al contrasto del cybercrime.
La sovrapposizione tra un incidente informatico (data breach) e un reato informatico (accesso abusivo a sistema informatico, ex art. 615-ter c.p.) è pressoché totale.
Quando una grande azienda o una pubblica amministrazione subiscono un attacco ransomware che cripta ed esfiltra enormi quantità di dati personali, si attivano due binari paralleli che oggi non sempre comunicano in modo efficiente:
- il binario amministrativo/regolatorio del Garante (notifica di data breach entro 72 ore, analisi delle misure di sicurezza ex art. 32 GDPR);
- il binario penale della Polizia Postale (indagini per individuare gli hacker, blocco dei server, analisi forense della minaccia).
Un coinvolgimento sistematico e strutturato della Polizia Postale ai sensi dell’art. 158, comma 3 del Codice Privacy eliminerebbe le duplicazioni di sforzi.
I benefici di un modello ispettivo multi-organo
L’adozione di un modello pluralistico nell’applicazione dell’articolo 158, comma 3, potrebbe offrire benefici sistemici.
Nella tabella seguente viene riportato un quadro sinottico di come potrebbero utilmente essere integrate le specifiche competenze di ciascuna Forza di Polizia in un unico sistema Privacy.
| Organo di Polizia | Specifica competenza | Focus d’Integrazione nel Sistema Privacy |
| Guardia di Finanza | Illeciti economico-finanziari, fiscalità | Grandi player, monetizzazione dei dati, adempimenti amministrativi |
| Arma dei Carabinieri | Presidio del territorio, tutela del lavoro e della salute | Privacy di prossimità, controlli sul posto di lavoro, sanità |
| Polizia di Stato | Ordine pubblico, contrasto al cybercrime specialistico | Data breach massivi, attacchi ransomware, analisi forense digitale |
Specializzazione per materia. De-siloing operativo
Non tutti i trattamenti di dati sono uguali.
Pertanto, assegnare l’ispezione all’organo che possiede la maggiore competenza intrinseca sul settore di riferimento può aumentare la qualità dell’accertamento.
Così, ad esempio, se l’ispezione riguarda una piattaforma di e-commerce o una holding finanziaria, la Guardia di Finanza resta la scelta ottimale.
Se, invece, l’attività ispettiva riguarda un software di selezione del personale basato su AI che discrimina i candidati, il Comando Carabinieri Tutela Lavoro – forte di una sensibilità maturata proprio nella protezione dei lavoratori – può risultare l’interlocutore più efficace.
Allo stesso modo, quando la verifica coinvolge la compromissione dell’Anagrafe nazionale o di un cloud ministeriale, la Polizia Postale dispone degli strumenti tecnici e investigativi necessari per affrontare un incidente di quella portata.
Conclusione: una riflessione aperta sul futuro della protezione dei dati
L’articolo 158, comma 3 del Codice Privacy contiene una possibilità che merita di essere osservata con attenzione alla luce delle trasformazioni che stanno interessando la società digitale.
La crescente convergenza tra protezione dei dati personali, cybersecurity, contrasto alla criminalità informatica e tutela degli interessi strategici nazionali pone infatti interrogativi nuovi sul modo in cui lo Stato possa assicurare una protezione effettiva dei diritti fondamentali.
In questo contesto, il patrimonio di competenze presente nella Guardia di Finanza, nella Polizia di Stato e nell’Arma dei Carabinieri rappresenta una risorsa di straordinario valore.
Si tratta di professionalità maturate in ambiti differenti ma complementari, accomunate dalla capacità di comprendere fenomeni complessi, raccogliere evidenze, prevenire minacce e proteggere persone, organizzazioni e Istituzioni.
La questione, probabilmente, non riguarda l’opportunità di aumentare il numero dei controlli o delle attività ispettive ma piuttosto il modo in cui la Repubblica intenda affrontare una realtà nella quale i dati personali sono diventati una componente essenziale della libertà individuale, della sicurezza economica e della stabilità democratica.
Se la protezione dei dati continua a essere letta esclusivamente come una materia di compliance, il dibattito resterà confinato entro i limiti della regolazione amministrativa; se, invece, viene riconosciuta come una delle condizioni che rendono possibile l’esercizio concreto dei diritti e delle libertà fondamentali nell’era digitale, allora il tema assume una dimensione più ampia e coinvolge l’intero sistema di protezione dello Stato.
In questa prospettiva, la facoltà prevista dall’articolo 158, comma 3 del Codice Privacy non appare soltanto come una disposizione organizzativa ma come uno strumento che il legislatore ha messo a disposizione delle Istituzioni per adattare la protezione dei diritti fondamentali all’evoluzione delle minacce e delle sfide del proprio tempo.
Il modo in cui tale possibilità potrà essere valorizzata costituisce un tema sul quale, probabilmente, è necessario sviluppare una riflessione sempre più ampia.
