Semplificazioni privacy e circolare n. 19439 di Confindustria

Stupisce non poco la recente circolare di Confindustria (n.19439 del 18 luglio 2011) con la quale ha tentato di definire delle linee guida circa la gestione della privacy in azienda per finalità ordinarie (ossia amministrativo-contabili), alla luce anche delle recenti modifiche che sono state apportate al Codice Privacy.
Questa categoria di finalità dai contorni ancora affatto definiti, infatti, gode in base alla legge vigente di un regime agevolato di semplificazione e inferiori livelli di sicurezza rispetto agli altri ambiti, al punto tale da essere esente dall’applicazione del codice della privacy nel trattamento dei dati di persone giuridiche, associazioni, enti o imprese con cui si intrattengano rapporti.
Ma cosa sono esattamente le finalità amministrativo-contabili? Quali attività si possono ricondurre con certezza al loro interno? Se a questa domanda la legge non ha ancora dato una risposta esaustiva, Confindustria nella succitata circolare “azzarda” una classificazione decisamente onnicomprensiva e non sostanziata da alcuna norma vigente. Secondo questo documento rientrerebbero nella categoria d’interesse la videosorveglianza per esigenze organizzative interne all’impresa, le azioni finalizzate alla conclusione contrattuale (tra cui la richiesta di documentazione che provi il possesso di determinati requisiti da parte del contraente), i rapporti con le banche o intermediari finanziari per la gestione dei conti correnti dei dipendenti, e tutto ciò che riguarda le buste paga, la malattia, gli infortuni, le aspettative, i permessi dei dipendenti, che comportano in realtà la gestione di dati più che sensibili riguardanti il loro stato di salute, il credo religioso, la vita privata, le abitudini alimentari.
Da quest’elenco alla fine rimane fuori ben poco di quello che è la generale gestione della privacy all’interno di un’azienda, tra cui l’attività giornalistica, la promozione commerciale, l’utilizzo di web-cam in luoghi pubblici, il marketing diretto.
Ma possiamo circoscrivere in così pochi settori di attività i trattamenti meritevoli di una tutela alla riservatezza? A mio avviso si dovrebbe valutare caso per caso, distinguendo l’impatto privacy che un trattamento può comportare e non generalizzare creando delle macroaree che debbano essere escluse a priori dall’ambito di applicazione del Codice Privacy.
Il dubbio che rimane attiene al valore giuridico che le succitate linee guida possono avere in sede di ispezione del Garante o egli agenti della GdF: il Titolare potrà andare esente da eventuali responsabilità riscontrate in sede di ispezione invocando semplicemente l’adempimento ai principi di tale circolare?