Spesso, anche nel corso di questa pandemia da Covid-19, abbiamo assistito ad incertezze del legislatore dei singoli Stati membri dell’Unione nell’individuare modalità di intervento su temi e diritti già disciplinati dal diritto europeo. Soprattutto nel campo della protezione dei dati personali ancora ci si meraviglia che l’iter di formazione delle norme di diritto interno che abbiano un impatto sulla protezione dei dati personali – proposte di legge, schemi di decreti legge o decreti legislativi, schemi di regolamento – debba necessariamente prevedere il parere preventivo dell’autorità di supervisione nazionale (“ASN”).  

Parere dell’Autorità

Il parere dell’Autorità di supervisione non è solo un parere necessitato dalla competenza tecnica della stessa. Il GDPR, innanzitutto, attribuisce all’ASN il compito di sorvegliare e assicurare l’applicazione del GDPR [art. 57.1, a)].

Nello svolgimento di questo compito primario, il regolamento prevede che l’ASN «fornisce consulenza, a norma del diritto degli Stati membri, al parlamento nazionale, al governo e ad altri organismi e istituzioni in merito alle misure legislative e amministrative relative alla protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento» [art. 57.1, c)]. 

I compiti citati, peraltro, trovano supporto nell’attribuzione all’ASN di uno specifico potere di «rilasciare, di propria iniziativa o su richiesta, pareri destinati al parlamento nazionale, al governo dello Stato membro, oppure, conformemente al diritto degli Stati membri, ad altri organismi e istituzioni e al pubblico su questioni riguardanti la protezione dei dati personali» [art. 58.3, b), GDPR].

In conclusione, l’attività di consulenza e consultiva dell’ASN ha lo scopo di consentire alla stessa di «assicurare l’applicazione del regolamento» e far sì che le istituzioni parlamentari ed esecutive dello Stato membro non introducano norme che potrebbero contraddire il GDPR. 

Primato del diritto europeo 

Ci si potrebbe chiedere quale sia il fondamento giuridico che giustifichi una simile prevalenza della norma del diritto unionale rispetto a quella di diritto interno dello Stato membro. La risposta si trova nei trattati di adesione all’Unione.

Nelle materie che i trattati dell’Unione ascrivono alla competenza del diritto UE, come nel caso della disciplina sulla protezione dei dati personali, quest’ultimo prevale sui diritti nazionali, per cui «non possono essere ammesse norme di diritto nazionale, quand’anche di rango costituzionale, che pregiudicano l’unità e l’efficacia di tale diritto (v., in tal senso, CGUE sentenze del 26 febbraio 2013, Melloni, C‑399/11, EU:C:2013:107, punto 59, e del 29 luglio 2019, Pelham e a., C‑476/17, EU:C:2019:624, punto 78).» (CGUE, C-439/19, punto 135).

Tanto vale anche per i diritti fondamentali riconosciuti dalla Carta dei diritti fondamentali dell’Unione Europea (“Carta di Nizza”), in quanto «(l)a Corte ha più volte dichiarato che i diritti fondamentali ora sanciti dalla Carta, di cui la Corte garantisce il rispetto, si ispirano alle tradizioni costituzionali comuni agli Stati membri e alle indicazioni fornite dagli atti internazionali relativi alla tutela dei diritti dell’uomo cui gli Stati membri hanno cooperato o aderito (v., in tal senso, sentenza del 27 giugno 2006, Parlamento/Consiglio, C‑540/03, EU:C:2006:429, punto 35 e giurisprudenza ivi citata).» (CGUE, C-467/17, punto 61).