Spetta all'UE e allo Stato, e non alle Regioni, disciplinare il trattamento dei dati personali. È incostituzionale, infatti, una disciplina regionale che regola il trattamento dei dati personali nella installazione degli impianti di videosorveglianza, in quanto vìola gli obblighi derivanti dall'appartenenza dell'Italia all'Unione europea e invade le competenze legislative esclusive dello Stato nella materia «ordinamento civile». È quanto si legge nella sentenza n. 69/2024 (sotto allegata), con cui la Corte costituzionale ha dichiarato costituzionalmente illegittimo l'articolo 3 della legge della Regione Puglia n. 13 del 2023 per contrasto con l'art. 117, commi primo e secondo, della Costituzione.

La Consulta ha rilevato che l'Unione europea, nell'esercizio della competenza fissata nell'art. 16 del Trattato sul funzionamento dell'Unione europea, detta una complessa disciplina in materia di trattamento dei dati personali, che «trova completamento e integrazione nelle fonti nazionali».

Per il giudice delle leggi, la Regione non può regolare autonomamente la materia, né operare una selezione di fonti e di previsioni, «che, all'interno dell'articolato plesso normativo contemplato sia dall'Unione europea sia dal legislatore statale, sono chiamate a disciplinare questa complessa e delicata materia», poiché in tal modo «non solo si sovrappone alle normative eurounitaria e statale, travalicando le proprie competenze, ma oltretutto effettua una arbitraria scelta, il cui contenuto precettivo equivale a ritenere vincolanti le sole regole individuate dal legislatore regionale e non anche le altre», dettate dall'Unione europea e dal legislatore statale.