L’attività normativa del Garante per la protezione dei dati personali nel periodo di riferimento si caratterizza per essersi esclusivamente concentrata nell’adozione di “autorizzazioni generali”.

Infatti, con provvedimento del 24 giugno 2010 (Differimento dell'efficacia dell'autorizzazione al trattamento dei dati genetici, rilasciata il 22 febbraio 2007 - 24 giugno 2010), in G.U. n. 158 del 9 settembre, per la quarta volta il Garante ha ulteriormente differito l’efficacia dell’autorizzazione al trattamento dei dati genetici, rilasciata il 27 febbraio 2007. Dopo le precedenti proroghe previste dai provvedimenti del 27 aprile 2010, e del 22 e 19 dicembre 2009, la presente viene motivata con la necessità di svolgere approfondimenti tecnici rispetto alle indicazioni del Consiglio superiore della sanità, inviate con nota del 3 maggio. L’autorizzazione generale, come noto, è un tipo di atto normativo creato in via di prassi dal Garante e successivamente recepito dall’art. 40 del Codice, al fine di ovviare all’inutile moltiplicazione di singole ma identiche autorizzazioni che il Codice medesimo prescrive siano rilasciate annualmente per alcune categorie di trattamenti. Esse, pertanto, pur mantenendo la veste formale di atti amministrativi, hanno un rilievo sostanziale di atti normativi, configurandosi, tra le altre problematiche, quella relativa all’obbligo di consultazione degli interessati. Le autorizzazioni per il trattamento dei dati genetici sono previste all’art. 90 del Codice, laddove si stabilisce che esse debbano essere rilasciate sentito il Ministro della salute, il quale a sua volta acquisisce, a tal fine, il parere del Consiglio superiore della sanità. Mentre le proroghe precedenti si sono rese necessarie per il ritardo intervenuto nello svolgimento della procedura consultiva appena esposta, necessaria al rinnovo dell’autorizzazione, quest’ultima è invece dovuta alla necessità di prendere in considerazione i suggerimenti formulati dal Consiglio superiore della sanità.

Una nuova autorizzazione, da ritenersi generale benché l’aggettivo non compaia nella rubrica dell’atto, è invece approvata con deliberazione del 27 maggio 2010 (Autorizzazione al trasferimento di dati personali del territorio dello Stato verso Paesi non appartenenti all’Unione europea, effettuati in conformità alle clausole contrattuali tipo, di cui all’allegato alla decisione della Commissione europea del 5 febbraio 2010, n. 2010/87/UE), in G.U. n. 141 del 19 giugno, per il trasferimento di dati personali dal territorio statale verso paesi terzi rispetto all’Unione europea. Il trasferimento di dati al di fuori dell’UE è disciplinato dalla direttiva n. 95/49/CE e dalle decisioni della Commissione che, in base all’art. 26 di tale direttiva, adotta le clausole contrattuali tipo atte a costituire, nei rapporti contrattuali, garanzie sufficienti per il corretto trattamento dei dati nel caso in cui i responsabili del trattamento siano stabiliti in paesi terzi. Sempre in base alla direttiva n. 95, sono poi gli Stati membri a dover adottare le misure necessarie per conformarsi alle decisioni della Commissione contenenti le clausole contrattuali. In virtù del Codice per la protezione dei dati personali, in Italia il trasferimento dei dati personali verso paesi non appartenenti all’UE deve essere autorizzato dal Garante sulla base delle garanzie individuate dalla Commissione europea (art. 44, c. 1, lett. b). Il provvedimento in oggetto rappresenta dunque l’autorizzazione al trasferimento dei dati personali verso paesi non appartenenti all’Unione europea effettuato in conformità alle clausole contrattuali tipo definite dalla Commissione europea, da ultimo, nella decisione del 5 febbraio 2010 n. 2010/87/UE.