La Corte Costituzionale ha dichiarato incostituzionale la disciplina regionale che regola il trattamento dei dati personali nell’installazione degli impianti di videosorveglianza.
Con la sentenza numero 69 depositata ieri la Consulta ha censurato l'articolo 3 della legge della Regione Puglia numero 13 del 2023 per contrasto con l'articolo 117, commi 1 e 2, Cost., in quanto vìola gli obblighi derivanti dall'appartenenza dell'Italia all'Unione europea e invade le competenze legislative esclusive dello Stato nella materia «ordinamento civile». La Corte rileva che l'Unione europea, nell'esercizio della competenza fissata nell'articolo 16 del Trattato sul funzionamento dell'Unione europea, detta «una complessa disciplina in materia di trattamento dei dati personali, che trova completamento e integrazione nelle fonti nazionali». Secondo il Giudice delle leggi, la Regione non può dunque regolare autonomamente la materia, né operare una selezione di fonti e di previsioni, «che, all'interno dell'articolato plesso normativo contemplato sia dall'Unione europea sia dal legislatore statale, sono chiamate a disciplinare questa complessa e delicata materia», poiché in tal modo «non solo si sovrappone alle normative eurounitaria e statale, travalicando le proprie competenze, ma oltretutto effettua una arbitraria scelta, il cui contenuto precettivo equivale a ritenere vincolanti le sole regole individuate dal legislatore regionale e non anche le altre», dettate dall'Unione europea e dal legislatore statale.
Presidente Barbera – Redattore Navarretta Ritenuto in fatto 1.– Con ricorso iscritto al numero 25 del reg. ricomma 2023, il Presidente del Consiglio dei ministri, rappresentato e difeso dall'Avvocatura generale dello Stato, ha promosso questioni di legittimità costituzionale dell'articolo 3 della legge della Regione Puglia 15 giugno 2023, numero 13, recante «Disposizioni per prevenire e contrastare condotte di maltrattamento o di abuso, anche di natura psicologica, in danno di anziani e persone con disabilità e modifica alla legge regionale 9 agosto 2006, numero 26 Interventi in materia sanitaria », per violazione dell'articolo 117, secondo comma, lettera l , della Costituzione, con riguardo alle materie «ordinamento civile» e «ordinamento penale», e per violazione dell'articolo 117, primo comma, Cost., in relazione sia al regolamento UE numero 679/2016 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE regolamento generale sulla protezione dei dati , sia alla direttiva UE 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio. 1.1.– La disposizione impugnata si colloca nel contesto di una legge regionale che intende prevenire e contrastare condotte di maltrattamento o di abuso, anche di natura psicologica, in danno di anziani e persone con disabilità nell'ambito delle strutture socio-sanitarie e socio-assistenziali a carattere residenziale, semi-residenziale o diurno articolo 1 della legge reg. Puglia numero 13 del 2023 . A tal fine, l'articolo 4 della medesima legge regionale prevede l'installazione di sistemi di videosorveglianza quale requisito necessario a conseguire l'accreditamento istituzionale con il Servizio sanitario regionale e a ottenere o mantenere l'autorizzazione all'esercizio dell'attività da parte delle strutture private richiedenti. L'impugnato articolo 3 regola la «[i]nstallazione dei sistemi di videosorveglianza e [la] tutela della privacy». In particolare, il legislatore regionale, oltre a stabilire che l'installazione dei sistemi di videosorveglianza sia effettuata in conformità al decreto legislativo 10 agosto 2018, numero 101, recante «Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento UE 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazioni di tali dati e che abroga la direttiva 95/46/CE regolamento generale sulla protezione dei dati », al regolamento numero 679/2016/UE, nonché alla Convenzione delle Nazioni Unite sui diritti delle persone con disabilità fatta a New York il 13 dicembre 2006, ratificata e resa esecutiva con legge 3 marzo 2009, numero 18, introduce alcune puntuali previsioni, riguardanti l'installazione dei sistemi di videosorveglianza, che deve avvenire con modalità atte a garantire la sicurezza dei dati trattati e la loro protezione da accessi abusivi la necessità che l'attivazione degli impianti sia preceduta dall'acquisizione del consenso degli ospiti o dei loro tutori l'esigenza di una adeguata segnalazione dei sistemi di videosorveglianza a tutti i soggetti che accedono all'area interessata l'esecuzione delle registrazioni, che deve essere effettuata in modalità criptata la visione delle registrazioni stesse, che viene riservata esclusivamente all'autorità giudiziaria. 2.– Il Presidente del Consiglio dei ministri ritiene che la disposizione si ponga in contrasto con tre parametri costituzionali. 2.1.– Anzitutto, l'articolo 3 invaderebbe la materia «ordinamento civile», di cui all'articolo 117, secondo comma, lettera l , Cost., poiché detterebbe una disciplina concernente il trattamento dei dati personali, ambito che questa Corte avrebbe già ascritto alla citata competenza legislativa esclusiva dello Stato viene richiamata in proposito la sentenza numero 271 del 2005 . La disposizione impugnata opererebbe un generico richiamo alle disposizioni del regolamento generale sulla protezione dei dati e del d.lgs. numero 101 del 2018, anziché rinviare all'intero plesso normativo di riferimento, e oltretutto evocherebbe le citate fonti con riguardo alla sola fase di installazione del sistema di videosorveglianza. La disciplina regionale alluderebbe poi alla mera necessità del consenso degli ospiti o dei tutori , senza indicare le modalità con cui il consenso deve essere prestato, né i caratteri che deve presentare così come non sarebbero regolati i tempi di conservazione delle videoriprese. Inoltre, l'articolo 3 trascurerebbe del tutto la posizione dei lavoratori e le garanzie loro assicurate dalla disciplina statale con l'articolo 4 della legge 20 maggio 1970, numero 300 Norme sulla tutela della libertà e dignità dei lavoratori, della libertà sindacale e dell'attività sindacale nei luoghi di lavoro e norme sul collocamento , che regola le condizioni di ammissibilità dei controlli a distanza dei lavoratori sul luogo di lavoro. Ne deriverebbe una violazione anche del principio di proporzionalità, in quanto si farebbe ricorso a uno strumento di monitoraggio particolarmente invasivo senza che sia dimostrato che esso risulti sempre quello più adeguato. In generale, secondo il ricorrente, la Regione sarebbe intervenuta «in un ambito riservato al legislatore statale cui spett[erebbe] il bilanciamento [degli] interessi giuridici in gioco». Da ultimo, il ricorso rinviene ulteriori indici della competenza esclusiva statale sia nell'articolo 5-septies, comma 2, del decreto-legge 18 aprile 2019, numero 32 Disposizioni urgenti per il rilancio del settore dei contratti pubblici, per l'accelerazione degli interventi infrastrutturali, di rigenerazione urbana e di ricostruzione a seguito di eventi sismici , convertito, con modificazioni, nella legge 14 giugno 2019, numero 55, che prevede un fondo destinato a finanziare l'installazione dei sistemi di videosorveglianza a circuito chiuso presso le strutture di residenza e cura degli anziani, sia nell'articolo 4, comma 2, lettera r , della legge 23 marzo 2023, numero 33 Deleghe al Governo in materia di politiche in favore delle persone anziane , che annovera la presenza di sistemi di videosorveglianza a circuito chiuso fra i criteri di accreditamento e autorizzazione di tali strutture la delega conferita al Governo dall'articolo 4 appena citato è stata esercitata, in epoca successiva al ricorso statale, con l'articolo 31 del decreto legislativo 15 marzo 2024, numero 29, recante «Disposizioni in materia di politiche in favore delle persone anziane, in attuazione della delega di cui agli articoli 3,4 e 5 della legge 23 marzo 2023, numero 33» . 2.2.– Quanto alla materia «ordinamento penale», ad avviso dell'Avvocatura, la disposizione impugnata si limiterebbe ad attribuire all'autorità giudiziaria la competenza all'accesso alle videoriprese, senza individuare l'intero plesso normativo di riferimento, da rinvenirsi anche nel decreto legislativo 18 maggio 2018, numero 51, recante «Attuazione della direttiva UE 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio». 2.3.– Infine, a fronte di una disciplina del trattamento dei dati personali prevalentemente regolata da fonti dell'Unione europea, il Presidente del Consiglio dei ministri lamenta la violazione anche dell'articolo 117, primo comma, Cost., in relazione al regolamento numero 679/2016/UE e alla direttiva 2016/680/UE. 3.– La Regione Puglia si è costituita in giudizio con atto depositato il 20 settembre 2023. 3.1.– In rito, solleva tre eccezioni. 3.1.1.– Con la prima, contesta che nella delibera del Consiglio dei ministri non vi sarebbe alcun riferimento all'articolo 117, primo comma, Cost. e alla violazione dei parametri sovranazionali. La difesa regionale fa pertanto valere, rispetto al citato parametro, la ritenuta eccedenza della censura contenuta nel ricorso rispetto alla volontà dell'organo politico sono richiamate in proposito le sentenze numero 147 del 2022 e numero 109 del 2018 di questa Corte . 3.1.2.– Con la seconda eccezione di inammissibilità, concernente la questione sollevata in riferimento all'articolo 117, secondo comma, lettera l , Cost., con riguardo alla materia «ordinamento civile», la Regione Puglia rileva il mancato riferimento a norme interposte e, ancor prima, una inadeguata individuazione della specifica materia rientrante nell'alveo della menzionata competenza. 3.1.3.– Infine, la difesa regionale adduce l'inconferenza di tutti parametri costituzionali evocati, osservando che una disciplina relativa l'installazione degli impianti di videosorveglianza afferirebbe alla materia «ordine pubblico e sicurezza» articolo 117, secondo comma, lettera h o, in subordine, alla «tutela della salute», materia attribuita dal terzo comma dell'articolo 117 Cost. alla competenza legislativa concorrente delle regioni. 3.2.– Nel merito, la Regione Puglia sostiene la non fondatezza delle questioni sollevate, sottolineando come la disposizione impugnata si inquadri nell'ambito di una legge regionale che nasce in conseguenza «di gravissimi episodi di maltrattamento e di abuso riportati dalle cronache che riferiscono di anziani e disabili che all'interno delle strutture sociosanitarie o assistenziali hanno subito inaccettabili violenze fisiche e psicologiche». In simile contesto, l'impugnato articolo 3 introdurrebbe un obbligo di installazione di sistemi di videosorveglianza, allo scopo di prevenire i maltrattamenti e per individuarne gli autori. La previsione corrisponderebbe, al contempo, all'interesse degli operatori sociosanitari che svolgono il proprio lavoro con impegno e correttezza e la cui immagine e professionalità sarebbero lese dalle condotte di colleghi irresponsabili. La Regione Puglia aggiunge che, ai sensi dell'articolo 4 della stessa legge regionale, l'installazione degli impianti di videosorveglianza entra a far parte dei requisiti delle strutture private per ottenere l'accreditamento presso il Servizio sanitario regionale, nonché per conseguire o mantenere l'autorizzazione all'esercizio delle attività. Questo, oltre a confermare l'ascrivibilità della disposizione impugnata alla materia «tutela della salute», dimostrerebbe la mancata interferenza con l'àmbito materiale del trattamento dei dati personali, anche perché non sarebbe stata introdotta «una nuova disciplina» in materia, essendo «richiama[ta] espressamente la normativa statale e comunitaria sul punto». Dopo aver evocato alcuni passaggi della sentenza di questa Corte numero 271 del 2005, dai quali, a suo avviso, si comprenderebbe come non sussista una incompetenza del legislatore regionale a disciplinare il trattamento dei dati personali, quando siano integralmente rispettate le norme statali sulla loro protezione, la difesa regionale passa in rassegna i vari profili oggetto di impugnazione, sottolineando per ciascuno di essi la ritenuta conformità alle norme contenute nel regolamento numero 679/2016/UE e nel decreto legislativo 30 giugno 2003, numero 196, recante «Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento UE numero 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE». Quanto alla omessa menzione del d.lgs. numero 51 del 2018, la Regione sostiene che tale disciplina riguarderebbe il trattamento dei dati personali delle persone fisiche da parte delle autorità competenti, a fini penalistici, e si collocherebbe, pertanto, al di fuori del perimetro applicativo dell'articolo 3 impugnato. Né la disposizione oggetto di scrutinio contrasterebbe con il d.l. numero 32 del 2019, come convertito, o con la legge di delega numero 33 del 2023, posto che, al contrario, tali normative mostrerebbero un «favore per l'adozione, da parte delle strutture ivi indicate, di sistemi di videosorveglianza per la medesima finalità di tutela, consacrata nell'articolo 1 della legge regionale 13/2023 in disamina, ed in tale quadro normativo ben si incaston[erebbe] allora la norma inopinatamente impugnata, che riprende a livello regionale quanto già previsto a livello statale». Da ultimo, la difesa regionale rammenta che anche la Regione Lombardia avrebbe normato nel medesimo settore e negli stessi termini adottati dalla legislazione pugliese, senza, tuttavia, suscitare alcuna impugnativa da parte statale. 4.– Successivamente, in data 27 febbraio 2024, la Regione Puglia ha depositato una memoria integrativa, con la quale ha reiterato le eccezioni di rito e di merito già proposte in sede di costituzione. 5.– All'udienza del 20 marzo 2024, l'Avvocatura generale dello Stato e la difesa regionale hanno insistito per l'accoglimento delle conclusioni rassegnate negli scritti difensivi. Considerato in diritto 1.– Con ricorso iscritto al numero 25 reg. ricomma 2023, depositato il 18 agosto 2023, il Presidente del Consiglio dei ministri, rappresentato e difeso dall'Avvocatura generale dello Stato, ha promosso questioni di legittimità costituzionale dell'articolo 3 della legge reg. Puglia numero 13 del 2023, per violazione dell'articolo 117, secondo comma, lettera l , Cost. con riguardo alle materie «ordinamento civile» e «ordinamento penale», nonché per violazione dell'articolo 117, primo comma, Cost., in relazione al regolamento numero 679/2016/UE e alla direttiva 2016/680/UE. 1.1.– L'impugnato articolo 3 regola la «[i]nstallazione dei sistemi di videosorveglianza e [la] tutela della privacy», con cinque commi che, oltre a prevedere il rispetto – nella sola fase dell'installazione – del d.lgs. numero 101 del 2018, del regolamento numero 679/2016/UE e della Convenzione delle Nazioni Unite sui diritti delle persone con disabilità, dettano specifiche prescrizioni concernenti la raccolta e il trattamento dei dati personali. 2.– Il Presidente del Consiglio dei ministri ritiene che le norme si pongano in contrasto con tre parametri costituzionali. 2.1.– Anzitutto, l'articolo 3 violerebbe l'articolo 117, secondo comma, lettera l , Cost., invadendo la materia, di esclusiva competenza legislativa statale, «ordinamento civile», alla quale sarebbe ascrivibile il trattamento dei dati personali. La disciplina impugnata, da un lato, opererebbe un rinvio limitato solo ad alcune fonti previste dal legislatore statale e con riferimento alla mera fase di installazione del sistema di videosorveglianza, e, da un altro lato, introdurrebbe puntuali prescrizioni, il cui implicito effetto sarebbe quello di derogare alla complessiva regolamentazione della materia disposta dal legislatore statale competente. 2.2.– Di seguito, secondo il Presidente del Consiglio dei ministri, sarebbe altresì violata la materia «ordinamento penale», di cui al medesimo articolo 117, secondo comma, lettera l , Cost., in quanto l'articolo 3, comma 5, della legge reg. Puglia numero 13 del 2023 attribuirebbe all'autorità giudiziaria il compito di accedere alle videoriprese, senza individuare l'intero plesso normativo di riferimento, da rinvenirsi anche nel d.lgs. numero 51 del 2018. 2.3.– Infine, il ricorso lamenta anche la violazione dell'articolo 117, primo comma, Cost., in relazione al regolamento numero 679/2016/UE e alla direttiva 2016/680/UE. 3.– La Regione Puglia si è costituita in giudizio, sollevando tre eccezioni di inammissibilità e chiedendo nel merito il rigetto del ricorso. 3.1.– Con la prima eccezione di rito, la Regione contesta l'eccedenza della censura contenuta nel ricorso rispetto alla volontà dell'organo politico, assumendo che nella delibera del Consiglio dei ministri non vi sarebbe alcun riferimento all'articolo 117, primo comma, Cost. e alla violazione dei parametri sovranazionali. 3.1.1.– L'eccezione non è fondata. Una piana lettura della delibera del Consiglio dei ministri palesa come l'organo politico ravvisi nell'articolo 3 della legge reg. Puglia numero 13 del 2023 una disciplina che si porrebbe «in contrasto con i vincoli derivanti dall'ordinamento comunitario in riferimento alle disposizioni del Regolamento UE numero 2016/679 cfr. articolo 117, comm[a] primo […], Cost.» pagina 12 della delibera . È, dunque, evidente che l'organo politico ha manifestato la volontà di censurare la violazione dei «vincoli derivanti dall'ordinamento comunitario», di cui all'articolo 117, primo comma, Cost. 3.2.– La seconda eccezione di inammissibilità attiene all'asserita mancanza, nel ricorso statale, di riferimenti alle norme interposte e, ancor prima, l'omessa esatta individuazione della materia specifica rientrante nell'ordinamento civile. 3.2.1.– Anche questa eccezione va disattesa. A prescindere dall'improprio utilizzo della locuzione “norma interposta” per una competenza legislativa statale esclusiva, è comunque agevole osservare che il ricorso contiene il riferimento a numerose norme di livello primario che costituirebbero espressione di tale competenza nel settore del trattamento dei dati personali. Inoltre, attraverso il richiamo ai contenuti della sentenza di questa Corte numero 271 del 2005, il Presidente del Consiglio dei ministri ha adeguatamente specificato in che termini e per quali ragioni l'oggetto della disposizione regionale impugnata rientrerebbe nella materia «ordinamento civile». 3.3.– Infine, con una terza eccezione di rito, la Regione Puglia sostiene l'inesatta individuazione del parametro costituzionale violato, che non combacerebbe con quelli di cui il ricorrente lamenta la lesione, posto che l'ambito normato dall'articolo 3 della legge reg. Puglia numero 13 del 2023 sarebbe, viceversa, ascrivibile all'articolo 117, secondo comma, lettera h , Cost., con riguardo alla materia «ordine pubblico e sicurezza», o, in subordine, alla competenza legislativa regionale concorrente nella materia «tutela della salute», di cui all'articolo 117, terzo comma, Cost. 3.3.1.– L'eccezione non è fondata. Secondo la giurisprudenza di questa Corte, l'eventuale «inconferenza del parametro indicato dal ricorrente rispetto al contenuto sostanziale della doglianza costituisce motivo di non fondatezza della questione sentenze numero 132 del 2021 e numero 286 del 2019 » di recente sentenze numero 163 e numero 53 del 2023 , sicché l'eccezione attiene al merito e non al rito. 4.– Nel merito, le questioni sollevate in riferimento all'articolo 117, secondo comma, lettera l , Cost., con riguardo alla materia «ordinamento civile», e all'articolo 117, primo comma, Cost., in relazione al regolamento numero 679/2016/UE, sono fondate. 5.– Come questa Corte ha già avuto modo di precisare, la protezione delle persone con riguardo al trattamento dei dati personali afferisce alla materia «ordinamento civile», sia per quanto concerne le norme sostanziali, che disciplinano le modalità di raccolta e il trattamento dei dati personali, sia per quanto riguarda le «tutele giurisdizionali delle situazioni soggettive del settore» sentenza numero 271 del 2005 in senso analogo, anche sentenza numero 177 del 2020 . Tali profili attengono, infatti, al «riconoscimento di una serie di diritti alle persone fisiche e giuridiche relativamente ai propri dati, diritti di cui sono regolate analiticamente caratteristiche, limiti, modalità di esercizio, garanzie, forme di tutela in sede amministrativa e giurisdizionale» ancora sentenza numero 271 del 2005 . Al contempo, l'Unione europea, nell'esercizio della sua competenza in materia di protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale e di libera circolazione dei dati articolo 16 del Trattato sul funzionamento dell'Unione europea , ha ampiamente regolamentato la materia, lasciando limitati spazi alla normazione degli Stati membri. L'attuale disciplina della protezione dei dati personali si compone, pertanto, di una complessa trama di fonti, il cui fulcro è rappresentato dalla normativa eurounitaria di carattere generale affidata al regolamento numero 679/2016/UE, che trova completamento e integrazione nelle fonti nazionali, a partire dal d.lgs. numero 196 del 2003 come modificato e integrato e dal d.lgs. numero 101 del 2018, che ha coordinato le disposizioni nazionali vigenti in materia di protezione dei dati personali con il regolamento generale sulla protezione dei dati sentenza numero 260 del 2021 . Né mancano discipline di settore, quale la direttiva numero 680/2016/UE, cui il legislatore nazionale ha dato attuazione con il d.lgs. numero 51 del 2018. Dalle richiamate fonti si evince una regolamentazione della videosorveglianza che scandisce molteplici fasi dalle condizioni che consentono l'installazione, agli strumenti e alle modalità di raccolta dei dati dalla informativa preventiva, al consenso dei titolari dei dati che vengono raccolti dal successivo trattamento dei dati, all'accesso ai supporti contenenti questi ultimi e alla loro utilizzazione. In particolare, la videosorveglianza presso le strutture socio-sanitarie e socio-assistenziali investe due campi d'azione particolarmente delicati da un lato, determina un monitoraggio che comprende la raccolta e il trattamento di dati sensibili relativi a persone anziane, malate o disabili, con inevitabili ricadute sulla riservatezza e sulla dignità di persone fragili da un altro lato, implica un controllo sull'attività lavorativa del personale operante all'interno delle strutture medici, infermieri, operatori socio-sanitari e socio-assistenziali, personale amministrativo, addetti alle pulizie e altri e di eventuali lavoratori esterni, la cui attività si svolge, in tutto o in parte, presso le strutture medesime. Da ultimo, non può tacersi il rilievo che, nella disciplina della materia, rivestono i provvedimenti del Garante per la protezione dei dati personali Sezione II, Capo VI, del regolamento numero 2016/679/UE , a partire dal provvedimento di carattere generale in materia di videosorveglianza, adottato l'8 aprile 2010, e dal provvedimento del 22 febbraio 2018, che contiene le indicazioni preliminari volte a favorire la corretta applicazione delle disposizioni del regolamento numero 679/2016/UE. 6.– A fronte della complessità e ampiezza dei profili implicati nel trattamento dei dati personali, che richiedono delicati bilanciamenti fra diritti spesso di rango inviolabile, l'intervento della Regione vìola i vincoli derivanti dall'UE e invade la competenza legislativa esclusiva spettante allo Stato, in quanto si sovrappone con proprie previsioni autonome e con un rinvio selettivo al delicato intreccio di fonti dettate dall'Unione europea e dallo Stato. 6.1.– Come si inferisce, infatti, sin dalla sua rubrica, l'articolo 3 regola l'«[i]nstallazione dei sistemi di videosorveglianza e [la] tutela della privacy». La disciplina si articola in cinque commi che, oltre a prevedere – con riferimento alla sola fase dell'installazione – il rispetto del d.lgs. numero 101 del 2018, del regolamento numero 679/2016/UE, nonché della Convenzione delle Nazioni Unite sui diritti delle persone con disabilità comma 3 , stabiliscono le seguenti puntuali prescrizioni «1. Le strutture private adibite all'attività di cui all'articolo 1 provvedono autonomamente all'installazione delle telecamere a circuito chiuso e ne danno comunicazione alle aziende sanitarie locali in caso di strutture socio-sanitarie e socio-assistenziali. 2. I sistemi di videosorveglianza a circuito chiuso di cui al comma 1 devono essere installati con modalità atte a garantire la sicurezza dei dati trattati e la loro protezione da accessi abusivi. Nelle strutture di cui all'articolo 1 è vietato l'utilizzo di webcam. 3. […] Per l'attivazione è necessario acquisire il consenso degli ospiti o dei loro tutori. 4. La presenza dei sistemi di videosorveglianza è inoltre adeguatamente segnalata a tutti i soggetti che accedono all'area video sorvegliata. 5. Le registrazioni sono effettuate in modalità criptata e possono essere visionate esclusivamente dall'autorità giudiziaria, a seguito di segnalazioni da parte dei soggetti interessati, familiari o degenti». 6.2.– Una tale disciplina non può essere ricondotta – come invece sostiene la difesa della Regione Puglia – all'esercizio della competenza legislativa regionale concorrente nella materia «tutela della salute». Simile affermazione si potrebbe comprendere, ove riferita all'articolo 4 della medesima legge reg. Puglia numero 13 del 2023, che prevede l'installazione degli impianti di videosorveglianza quale requisito ai fini dell'accreditamento o dell'autorizzazione all'esercizio delle attività socio-sanitarie e socio-assistenziali, disposizione che trova corrispondenza anche in quanto disposto a livello statale sia dall'articolo 31, comma 7, lettera d , del d.lgs. numero 29 del 2024, che ha attuato l'articolo 4, comma 2, lettera r , della legge numero 33 del 2023, annoverando la previsione di sistemi di videosorveglianza a circuito chiuso fra i criteri per l'accreditamento e l'autorizzazione di strutture socio-sanitarie e socio-assistenziali per anziani, sia dall'articolo 5-septies, comma 2, del d.l. numero 32 del 2019, come convertito, che istituisce un fondo destinato a finanziare l'installazione dei sistemi di videosorveglianza a circuito chiuso presso le strutture di residenza e cura degli anziani Viceversa, la competenza legislativa concorrente nella materia «tutela della salute» non è in alcun modo pertinente rispetto all'articolo 3. Infatti, tale competenza può consentire alla Regione di prevedere un onere concernente l'installazione di impianti di videosorveglianza, al più evocando – tramite un rinvio mobile – il doveroso rispetto di tutta la disciplina dettata dall'Unione europea e dallo Stato nel campo della videosorveglianza e del trattamento dei dati personali, ma certo non autorizza la Regione a operare una cernita delle fonti rilevanti e a dettare essa stessa le regole concernenti i citati ambiti. 6.2.1.– L'invasione della competenza legislativa statale si rileva già solo in presenza di una novazione delle fonti di recente, sentenza numero 239 del 2022 e, nella materia «ordinamento civile», sentenze numero 153 del 2021 e numero 234 del 2017 , che nel tempo sono suscettibili di modificazioni e integrazioni da parte dei legislatori competenti. 6.2.2.– Inoltre, e soprattutto, non spetta alla Regione operare una selezione di fonti e di regole – quale emerge nella disciplina in esame – che, all'interno dell'articolato plesso normativo contemplato sia dall'Unione europea sia dal legislatore statale, sono chiamate a disciplinare questa complessa e delicata materia. In tal modo, la Regione non solo si sovrappone alle normative eurounitaria e statale, travalicando le proprie competenze, ma oltretutto effettua una arbitraria scelta, il cui contenuto precettivo equivale a ritenere vincolanti le sole regole individuate dal legislatore regionale e non anche le altre. 6.2.2.1.– Non è innocuo, in tale prospettiva, che l'articolo 3 abbia individuato, quali fonti da rispettare, il d.lgs. numero 101 del 2018, il regolamento numero 679/2016/UE e la Convenzione delle Nazioni Unite sui diritti delle persone con disabilità, così escludendo il d.lgs. numero 196 del 2003 e le altre fonti, emanate dall'UE e attuate dal legislatore statale. In particolare, quanto al d.lgs. numero 196 del 2003, esso è tuttora vigente e le sue previsioni sono state solo in parte abrogate o modificate dal d.lgs. numero 101 del 2018, che ha operato opportuni raccordi con il regolamento numero 679/2016/UE così la sentenza numero 260 del 2021 . Fra le previsioni del citato codice della privacy è doveroso, in particolare, richiamare l'articolo 114, secondo cui «[r]esta fermo quanto disposto dall'articolo 4 della legge 20 maggio 1970, numero 300», il quale detta le condizioni che consentono l'installazione di impianti audiovisivi «dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori», vale a dire proprio la fattispecie regolata dal legislatore regionale. 6.2.2.2.– Quanto alla raccolta e al trattamento dei dati personali, la disposizione impugnata, da un lato, opera un richiamo al regolamento numero 679/2016/UE e al d.lgs. numero 101 del 2018 riferendosi alla sola fase dell'installazione della videosorveglianza e, da un altro lato, entra nel vivo della disciplina sul trattamento dei dati personali, prevedendo che sia acquisito il consenso degli ospiti o dei loro tutori articolo 3, comma 3, della legge reg. Puglia numero 13 del 2023 e che l'installazione sia genericamente effettuata con modalità che garantiscano la sicurezza dei dati e la loro protezione da accessi abusivi articolo 3, comma 2 . Ma, di nuovo, la selezione di fonti e di regole applicabili non prende in considerazione l'imponente corpo normativo che, in ambito eurounitario e statale, oltre a richiedere di regola il consenso di tutti coloro i cui dati vengono trattati articolo 6 e 7 del regolamento numero 679/2016/UE, nonché articolo 9 dello stesso regolamento rispetto ai dati sensibili , disciplina dettagliatamente l'informativa le modalità di raccolta del consenso e le sue caratteristiche le cautele richieste in ordine ai dati sensibili il trattamento dei dati successivo alla raccolta, a partire dalla durata e dalle modalità di conservazione dei dati la garanzia per i titolari dei dati raccolti di poter accedere agli stessi e di poterne bloccare la diffusione. Né può tacersi che, nella scansione delle varie fasi del trattamento dei dati personali, le fonti emanate dai legislatori competenti riconoscono ai loro titolari specifiche situazioni giuridiche soggettive a essere informati, a manifestare o revocare il consenso alla raccolta e al trattamento dei dati, a opporsi alla loro divulgazione, a prendere visione dei dati raccolti , che si riflettono su altrettanti strumenti di tutela. 6.2.2.3.– Analogamente, anche i commi 1 e 4 dell'articolo 3 della legge reg. Puglia numero 13 del 2023 – che prevedono, rispettivamente, l'autonoma installazione delle telecamere da parte delle strutture private, con mera comunicazione alle aziende sanitarie locali, nonché una semplice segnalazione dei sistemi di videosorveglianza a tutti i soggetti che accedono all'area – disattendono il necessario rispetto di tutte le fonti eurounitarie e statali, comprese le dettagliate prescrizioni richieste dal già citato provvedimento generale del Garante per la protezione dei dati personali dell'8 aprile 2010. 6.3.– In sostanza – come questa Corte ha già avuto modo di puntualizzare sentenza numero 271 del 2005 – il contrasto con i vincoli derivanti dall'UE e con la competenza legislativa statale esclusiva emerge tanto a fronte di rinvii parziali, quanto in presenza di una disciplina puntuale che individui solo una limitata porzione di regole, trascurando le altre che sono oggetto della fitta disciplina eurounitaria e statale. 7.– In conclusione, l'articolo 3 della legge reg. Puglia numero 13 del 2023 è costituzionalmente illegittimo per contrasto con l'articolo 117, primo comma, Cost., in relazione al regolamento numero 679/2016/UE e alla direttiva 2016/680/UE, e con l'articolo 117, secondo comma, lettera l , Cost., con riguardo alla materia «ordinamento civile». È assorbita ogni ulteriore censura. 8.– Resta fermo che l'accoglimento delle questioni sollevate sull'articolo 3 non incide sull'onere di installare impianti di videosorveglianza, previsto dall'articolo 4 della stessa legge reg. Puglia numero 13 del 2023, e che l'installazione debba essere effettuata nel pieno rispetto di tutte le previsioni dettate dall'Unione europea e dal legislatore statale, nel campo della videosorveglianza e del trattamento dei dati personali. Per questi motivi la Corte Costituzionale dichiara l'illegittimità costituzionale dell'articolo 3 della legge della Regione Puglia 15 giugno 2023, numero 13, recante «Disposizioni per prevenire e contrastare condotte di maltrattamento o di abuso, anche di natura psicologica, in danno di anziani e persone con disabilità e modifica alla legge regionale 9 agosto 2006, numero 26 Interventi in materia sanitaria ».