Garante per la protezione dei dati personali
Cittadini
e
Società
dell’informazione
BOLLETTINO
9
ANNO III - giugno / luglio / agosto / settembre 1999
PRESIDENZA DEL CONSIGLIO DEI MINISTRI
DIPARTIMENTO PER L’INFORMAZIONE E L’EDITORIA
SOMMARIO
RISPOSTE A ISTANZE E QUESITI
5
ACCESSO AI DOCUMENTI AMMINISTRATIVI
7
– Accesso agli atti delle amministrazioni locali
7
AUTORIZZAZIONI
10
– Per categorie di titolari o di trattamenti
10
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
11
In Generale
REGISTRO DEI TRATTAMENTI
In Generale
11
32
32
RICORSI
34
– Decisioni del Garante
– Accoglimento
– Inammisibilità
– Manifesta infondatezza
34
34
39
51
TRATTAMENTO DEI DATI PERSONALI
57
– Privati ed enti pubblici economici
– Soggetti pubblici
– Dati sensibili
– A.I.D.S.
57
61
77
77
COMUNICATI STAMPA
NORMATIVA
Legge n. 675 del 31 dicembre 1996: “Tutela delle persone e di altri
soggetti rispetto al trattamento dei dati personali”
79
151
153
Decreto legislativo 11 maggio 1999, n. 135: “Disposizioni integrative
della legge 31 dicembre 1996, n. 675, sul trattamento di dati
sensibili da parte dei soggetti pubblici” (testo aggiornato)
178
Decreto legislativo 30 luglio 1999, n. 281: “Disposizioni in materia di
trattamento di dati personali per finalità storiche, statistiche e di
ricerca scientifica”
188
Decreto legislativo 30 luglio 1999, n. 282: “Disposizioni per
garantire la riservatezza dei dati personali in ambito sanitario”
197
Decreto del Presidente della Repubblica 28 luglio 1999, n. 318:
“Regolamento recante norme per l’individuazione delle misure
minime di sicurezza per il trattamento dei dati personali, a norma
dell’art. 15, comma 2, della legge 31 dicembre 1996, n. 675”
201
SOMMARIO DEI BOLLETTINI NN . 1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 E 9
206
3
RISPOSTE A ISTANZE
E QUESITI
Accesso ai documenti amministrativi
ACCESSO AI DOCUMENTI AMMINISTRATIVI
— Accesso agli atti delle amministrazioni locali
Il regime di pubblicità della situazione patrimoniale relativa ai titolari di alcune cariche
elettive o direttive non fa sorgere l’obbligo di pubblicare i dati patrimoniali né il diritto di conoscere il contenuto dei loro cedolini dello stipendio; in questi ultimi, com’è noto, possono essere contenute informazioni di vario genere (multe disciplinari, pignoramenti per alimenti o
tasse, cessioni di stipendio) alcune delle quali aventi anche natura “sensibile” (sussidi di cura, indennità missione handicappati, iscrizione al sindacato, ecc.).
Roma, 8 giugno 1999
Comune di Viterbo
Ufficio Gruppi Consiliari
Consigliere Antonella Bruni
Via F. Ascenzi 1
01100 Viterbo
e, p.c. Comune di Viterbo
Dott. Rosario Terranova
Segretario Generale
Via F. Ascenzi 1
01100 Viterbo
OGGETTO: regime di conoscibilità da parte dei consiglieri comunali dei dati contenuti nei cedolini dello stipendio dei dirigenti dell’amministrazione
comunale.
È stato chiesto a questa Autorità un parere in merito ai rapporti tra il diritto di accesso dei consiglieri di enti locali agli atti e ai documenti in possesso dell’amministrazione comunale e provinciale e la legge sulla protezione dei dati personali.
In particolare si chiede di conoscere se un consigliere comunale, per l’espletamento dei compiti connessi con il mandato, possa prendere visione dei cedolini degli stipendi di alcuni dirigenti dell’amministrazione comunale.
Su tali aspetti il Garante si è già pronunciato adottando alcuni pareri di cui si trasmette copia.
In tali provvedimenti, viene segnalato che la legge 5 luglio 1992, n. 441, concernente il regime
di pubblicità della situazione patrimoniale relativa ai titolari di alcune cariche elettive o direttive, è
applicabile anche ai componenti degli organi elettivi locali e ai titolari di cariche direttive degli enti,
degli istituti e delle società indicati nell’art. 12 della medesima legge.
In particolare si osserva che l’art. 17, comma 22, della legge 15 maggio 1997, n. 127, ha esteso l’applicabilità dell’art. 12 della legge n. 441 “al personale di livello dirigenziale o equiparato di cui
all’art. 2, commi 4 e 5, del d.lg. 3 febbraio 1993, n. 29 e successive modifiche, nonché al personale dirigenziale delle amministrazioni pubbliche”.
Peraltro, il regime di pubblicità della situazione patrimoniale relativa al suddetto personale non
fa sorgere l’obbligo di pubblicare i dati patrimoniali relativi a tali soggetti né il diritto di conoscere il
contenuto dei loro cedolini dello stipendio, nei quali, com’è noto, possono essere contenute informazioni di vario genere (multe disciplinari, pignoramenti per alimenti o tasse, cessioni di stipendio) alcune delle quali aventi anche natura “sensibile” (sussidi di cura, indennità missione handicappati,
iscrizione al sindacato, ecc.).
7
Accesso ai documenti amministrativi
Al riguardo il Garante, con il parere reso al Comune di Roma sulle misure da adottare a tutela
della riservatezza dei dati contenuti nel cedolino dello stipendio dei dipendenti comunali, sottolinea
la necessità di adottare le opportune misure volte a tutelare la riservatezza dei dipendenti per fare in
modo che i dati contenuti nel cedolino non siano immediatamente accessibili ad altre persone, rimanendo conoscibili dai soli incaricati del trattamento che li devono necessariamente utilizzare per la
gestione del rapporto di lavoro.
Nel caso in esame, il diritto del consigliere comunale (art. 31, comma 5, legge n. 142/1990) di
valutare con piena cognizione di causa la correttezza e l’efficacia dell’operato dell’Amministrazione
e di accedere, a tale scopo, ai documenti formati dalla pubblica amministrazione di appartenenza e a
qualsiasi notizia od informazione utili ai fini dell’esercizio delle funzioni consiliari, può essere certamente soddisfatto attraverso:
1) la pubblicità della situazione patrimoniale dei dirigenti (leggi n. 441/1992 e n. 127/1997 citate);
2) l’esame dei contratti collettivi, destinati per loro stessa natura ad un regime di diffusa conoscibilità;
3) l’accesso alle deliberazioni e alle determinazioni, concernenti indennità e altri emolumenti
corrisposti, adottate dall’Amministrazione a favore dei dipendenti medesimi.
IL PRESIDENTE
8
Accesso ai documenti amministrativi
Nel caso in cui i dati contenuti nelle deliberazioni comunali abbiano natura sensibile o
siano attinenti a particolari provvedimenti giudiziari (artt. 22 e 23, legge n. 675/1996), si fa
presente che il trattamento di tali dati risulta espressamente autorizzato dal recente d.lg. n.
135/1999 (pubblicato con gli aggiornamenti in fondo a questo Bollettino) che ha riconosciuto la rilevanza a livello di interesse pubblico dei trattamenti di dati personali.
Roma 2 settembre 1999
Prefettura di Matera
75100 Matera
OGGETTO: regime di pubblicità delle deliberazioni comunali e protezione dei
dati personali.
Il Garante ha fornito risposta a numerosi quesiti, formulati in particolare da amministrazioni comunali, in ordine ai rapporti tra le disposizioni della legge n. 675/1996 in tema di tutela dei dati personali e le normative riguardanti l’accesso ai documenti amministrativi ed il regime di pubblicità delle deliberazioni comunali.
In particolare, nel caso in cui i dati contenuti nelle deliberazioni comunali abbiano natura sensibile o siano attinenti a particolari provvedimenti giudiziari (artt. 22 e 23, legge n. 675/1996), si fa
presente che il trattamento di tali dati risulta espressamente autorizzato dal recente d.lg. n. 135/1999
che ha riconosciuto la rilevanza a livello di interesse pubblico dei trattamenti di dati personali:
1) diretti all’applicazione della disciplina in materia di documentazione dell’attività istituzionale di organi pubblici (v. art. 8, commi 5, lett. a) e 6);
2) effettuati in conformità alle leggi e ai regolamenti per l’applicazione della disciplina sull’accesso ai documenti amministrativi (v. art. 16, comma 1, lett. c);
3) per lo svolgimento delle attività dirette all’applicazione della disciplina in materia di concessione di benefici economici, agevolazioni, elargizioni, altri emolumenti e abilitazioni, la cui diffusione sia indispensabile per garantire la trasparenza delle attività suddette, in conformità alle leggi,
e per finalità di vigilanza e di controllo conseguente alle attività medesime (art. 13).
Ai sensi dell’art. 22, comma 3-bis, della legge n. 675/1996, come modificato dall’art. 5, comma
3, del citato d.lg. n. 135, rimangono pertanto da identificare, secondo i princìpi stabiliti agli artt. 2, 3
e 4 dello stesso decreto n. 135, i tipi di dati e le operazioni strettamente necessari e pertinenti in relazione alle specifiche attività svolte dall’ente locale.
In conclusione, nel caso in esame deve ritenersi che non vi è alcuna incompatibilità di fondo tra
le disposizioni in materia di protezione dei dati personali e le disposizioni anche previgenti alla legge n. 675/1996 in tema di trasparenza dell’attività della pubblica amministrazione, di accesso ai documenti amministrativi e di pubblicità di taluni atti.
IL SEGRETARIO GENERALE
9
Autorizzazioni
AUTORIZZAZIONI
— Per categorie di titolari o di trattamento
Le sette autorizzazioni generali per il trattamento dei dati sensibili pubblicate sulla Gazzetta Ufficiale n. 232, serie generale del 2 ottobre 1999, sono pubblicate in fondo a questo bollettino.
10
Garante per la protezione dei dati personali
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
— In generale
Il trattamento dei dati da parte delle pubbliche amministrazioni e l’eventuale designazione di responsabili del trattamento, sono i punti fondamentali del parere reso alla Presidenza del Consiglio in relazione all’adozione di un d.P.C.M.
Roma, lì 2 giugno 1999
Presidenza del Consiglio dei Ministri
Gabinetto del sig. Ministro per la solidarietà sociale
Via V. Veneto, 56
00187 - Roma
OGGETTO: schema di regolamento di attuazione degli articoli 65 e 66 della legge 23 dicembre 1998, n. 448 concernenti gli assegni per il nucleo familiare e di maternità. Richiesta di parere ai sensi dell’art. 31, comma 2, della legge n. 675/1996.
In relazione allo schema di regolamento in oggetto, non si hanno particolari osservazioni da formulare potendosi far riferimento alle considerazioni già esposte nel precedente parere espresso sullo
schema del d.P.C.M. di attuazione dell’art. 4, commi 5 e 6, del d.lg. 31 marzo 1998, n. 108, riguardante il c.d. “riccometro” (v. nota del Garante n. 3903 del 26 maggio 1999).
Si osserva comunque che lo schema in esame appare conforme ai princìpi indicati nel predetto
parere.
In ordine alla prevista acquisizione da parte dei comuni del consenso di ciascun beneficiario
per quella parte di trattamento dei dati personali che, ai fini della liquidazione degli assegni, viene
demandato dall’INPS ai soggetti privati che gestiscono servizi informatici di postalizzazione (art. 7,
comma 4, dello schema), si precisa che:
a) tale consenso è del tutto superfluo sia per le attività svolte dai comuni, sia per quelle esercitate dallo stesso Istituto, trattandosi di soggetti pubblici (in base alla legge n. 675/1996, le pubbliche
amministrazioni non operano con il consenso degli interessati e devono soltanto verificare la rispondenza delle operazioni di trattamento dei dati alle proprie funzioni istituzionali ed il rispetto dei limiti stabiliti dalle rispettive normative dei riferimento: art. 27);
b) riguardo ai rapporti con società che curano i servizi di posta elettronica, questa Autorità ha
già indicato come una soluzione in qualche modo obbligata la designazione di tali soggetti come responsabili del trattamento ai sensi dell’art. 8 della legge n. 675, poiché viene loro affidata l’esecuzione, sia pure con un certo grado di autonomia, solo di una parte strumentale delle operazioni di trattamento necessarie per perseguire le finalità del titolare (v. allegato parere relativo al servizio POSTEL).
Si resta a disposizione per ogni ulteriore, eventuale, chiarimento.
IL PRESIDENTE
11
Garante per la protezione dei dati personali
La legge n. 675/1996 ha espressamente fatto salve, in quanto compatibili (art. 43, comma 2), le disposizioni del decreto legislativo 6 settembre 1989, n. 322, recante la disciplina del
Sistema statistico nazionale.
Roma, 3 giugno 1999
ISTAT
Istituto nazionale di statistica
Via Cesare Balbo 16
00184 Roma
OGGETTO: Comunicazione dell’indirizzario dell’archivio statistico delle imprese
attive (ASIA) realizzato dall’ISTAT all’Istituto di studi e analisi economica (ISAE).
Codesto istituto ha comunicato, ai sensi dell’art. 27, comma 2, della legge n. 675/1996, di avere intenzione di aderire alla richiesta avanzata dall’Istituto di studi ed analisi economica (ISAE) di
poter accedere all’indirizzario dell’archivio statistico delle imprese attive (ASIA), realizzato da codesto stesso istituto.
La richiesta dell’ISAE, ente pubblico facente parte del Sistema statistico nazionale (d.P.R.
28 settembre 1998, n. 374), risulta motivata dall’esigenza di poter disporre, esclusivamente per fini
statistici, di elementi di riferimento certi per la formazione di liste di imprese interessate alle rilevazioni di cui lo stesso istituto è titolare.
Occorre premettere che la legge n. 675/1996 ha espressamente fatto salve, in quanto compatibili (art. 43, comma 2), le disposizioni del decreto legislativo 6 settembre 1989, n. 322, recante la disciplina del Sistema statistico nazionale. È altresì opportuno ricordare che è in corso di definizione la
disciplina della protezione dei dati personali nel settore della ricerca scientifica e statistica, tramite
l’attuazione delle Raccomandazioni del Consiglio d’Europa R. (93) 10 e della più recente R. (97) 18.
Ciò premesso, si osserva che, data la natura pubblica dei soggetti interessati al predetto flusso
di dati personali, il parametro normativo da prendere in considerazione è rappresentato dall’art. 27
della legge n. 675/1996, il quale considera lecito lo scambio di dati tra soggetti pubblici in presenza
di una norma di legge o di regolamento che lo preveda.
Tale disposizione va collegata all’art. 2, comma 4, del d.P.R. n. 374/1998 il quale espressamente consente all’Istituto di studi e analisi economica (ISAE) di accedere, per lo svolgimento delle attività d’istituto, mediante protocolli d’intesa, al sistema informativo di cui al decreto legislativo 19 novembre 1997, n. 414, e, nel rispetto del decreto legislativo n. 322/1989 e del regolamento comunitario n. 2186/93, ai dati del SISTAN e di altre pubbliche amministrazioni, le quali sono tenute a fornire, ai sensi delle vigenti disposizioni, gli ulteriori elementi e le informazioni in loro possesso richiesti dall’Istituto ai fini dell’esercizio dei propri compiti.
In questo quadro normativo rientra la comunicazione dei predetti dati fra codesto Istituto di statistica e l’ISAE, comunicazione che pertanto non richiede la necessità di alcuna comunicazione al Garante ai sensi dell’art. 27, comma 2, della legge n. 675/1996.
IL PRESIDENTE
12
Garante per la protezione dei dati personali
Roma, 2 agosto 1999
ISTAT
Istituto nazionale di statistica
Via Cesare Balbo 16
00184 Roma
OGGETTO: Comunicazione dell’indirizzario dell’archivio statistico delle imprese
attive (ASIA) realizzato dall’ISTAT all’Istituto di studi e analisi economica (ISAE).
Con riferimento alla richiesta di ulteriori chiarimenti concernenti l’argomento in oggetto, nel
confermare le osservazioni formulate da questa Autorità con la nota del 3 giugno 1999, n. 4116, si
precisa quanto segue.
Alla fattispecie in esame si ritiene applicabile l’art. 27, comma 2, della legge n. 675/1996, nella parte in cui ammette la comunicazione di dati personali fra soggetti pubblici se prevista da norme
di legge o di regolamento, in quanto in tal caso l’accesso da parte dell’ISAE ai dati del SISTAN è
espressamente disciplinato da un apposito regolamento (d.P.R. n. 374/1998, art. 2, comma 4).
Quest’ultimo quadro normativo di riferimento rende infatti inoperante, nel caso di specie, l’ipotesi residuale prevista dal medesimo art. 27, comma 2, nella parte in cui prevede la possibilità di uno
scambio di dati non regolato da norme ma pur sempre necessario per lo svolgimento di funzioni istituzionali.
Come già constatato più volte, la legge n. 675/1996 (art. 43, comma 2), ha fatto espressamente
salve, in quanto compatibili, le disposizioni del decreto legislativo n. 322/1989 che sono state peraltro meglio armonizzate con la legge n. 675 con il decreto legislativo in materia di statistica approvato il 29 luglio u.s., in corso di pubblicazione.
Tale normativa del 1989, peraltro espressamente richiamata nel citato art. 2, comma 4, del d.P.R.
n. 374/1998, rappresenta la base normativa utile per la comunicazione all’ISAE dei dati in questione.
Un parametro più preciso di riferimento per l’interscambio dei dati in questione è infatti rinvenibile nell’art. 9, comma 4, del medesimo decreto legislativo. Secondo tale disposizione, alla quale è
stata apportata una parziale modifica dal citato decreto legislativo in corso di pubblicazione, tra i dati tutelati dal segreto statistico non rientrano gli estremi identificativi di persone o di beni, presenti nei
pubblici registri (ora, nel testo modificato, provenienti da pubblici registri, elenchi atti o documenti conoscibili da chiunque), quali quelli contenuti nell’archivio ASIA cui l’ISAE chiede di accedere.
Nel condividere quindi il giudizio di fondo sulla utilità dei flussi di dati connessi all’utilizzo dell’archivio ASIA, quale fondamentale strumento di integrazione delle statistiche in campo economico,
si ritiene opportuno richiamare l’attenzione su una ulteriore disposizione (contenuta nell’art. 6-bis,
comma 4, del citato decreto legislativo in corso di pubblicazione), in base alla quale i dati personali
raccolti per uno scopo statistico potranno essere trattati dai soggetti che fanno parte o partecipano al
Sistema statistico nazionale per altri scopi statistici di interesse pubblico.
Si precisa, infine, che le suesposte osservazioni possono ritenersi applicabili, in generale, anche in riferimento alla conoscibilità dei dati del SISTAN da parte di altri soggetti che fanno parte del
Sistema statistico nazionale.
IL PRESIDENTE
13
Garante per la protezione dei dati personali
Il Garante segnala alle autorità competenti la necessità di apportare modifiche alle
normative che regolano le modalità di esposizione sui veicoli dei contrassegni che consentono
l’accesso ai centri storici a soggetti in possesso di alcuni requisiti.
Roma, 7 giugno 1999
Utilizzazione di dati personali ai fini della circolazione di veicoli in zone a traffico limitato o per la sosta in spazi riservati.
PREMESSA
Sono pervenute a questa Autorità numerose segnalazioni che lamentano la violazione della legge 31 dicembre 1996, n.675, in relazione alle prescrizioni impartite dalle autorità comunali per ciò
che riguarda i permessi di accesso alle zone urbane a traffico limitato (e i permessi rilasciati per fruire, a vario titolo, di parcheggi riservati), relativamente all’obbligo di esporre all’interno dei veicoli
contrassegni recanti l’indicazione delle generalità o dell’indirizzo del loro titolare, oppure la fotocopia del libretto di circolazione o di un documento d’identità.
In proposito il Garante osserva quanto segue.
È necessario distinguere preliminarmente, fra le varie ipotesi segnalate, due categorie di permessi e di relativi contrassegni:
a) quelli rilasciati a soggetti portatori di handicap motorio;
b) quelli riguardanti cittadini che, per il fatto di risiedere in zone a traffico limitato ovvero
per particolari esigenze, necessitano di permessi in deroga alle limitazioni imposte dall’autorità comunale alla circolazione o alla sosta dei veicoli.
PORTATORI DI HANDICAP MOTORIO
Per quanto riguarda i portatori di handicap motorio, la disciplina di riferimento è costituita dagli articoli 7, comma 4, e 188 del nuovo codice della strada (d.lg. 30 aprile 1992, n. 285), dall’articolo 381 del relativo regolamento di attuazione (d.P.R. 16 dicembre 1992, n. 495) e dagli articoli 11
e 12 del d.P.R. 24 luglio 1996, n. 503 (in materia di eliminazione delle barriere architettoniche in edifici, spazi e servizi pubblici).
L’articolo 7, comma 4, prevede che, nel caso di imposizione di “obblighi, divieti o limitazioni di
carattere temporaneo o permanente”alla circolazione “possono essere accordati, per accertate necessità, permessi subordinati a speciali condizioni o cautele”per quanto riguarda invece i divieti o le limitazioni alla sosta, possono essere concessi permessi ai veicoli utilizzati “da persone con limitata o
impedita capacità motoria, muniti del contrassegno speciale”.
Il successivo articolo 188 assicura alle “persone invalide” alcune agevolazioni per la circolazione e la sosta dei veicoli al loro servizio. A tal fine, ai sensi del citato articolo 381, comma 2, del regolamento di attuazione, il sindaco, previo specifico accertamento sanitario, rilascia alle “persone invalide con capacità di deambulazione sensibilmente ridotta” apposita autorizzazione in deroga che “è
resa nota mediante l’apposito “contrassegno invalidi””.
Tale contrassegno, strettamente personale e non vincolato ad uno specifico veicolo, deve recare
gli elementi espressamente riprodotti in allegato al regolamento stesso, e cioè la dicitura “parcheggio
invalidi”, l’indicazione del comune e del sindaco che ha rilasciato l’autorizzazione, il numero della
concessione (rectius:dell’autorizzazione), le generalità e l’indirizzo del titolare.
Infine, gli articoli 11 e 12 del d.P.R n. 503/1996, prevedono ulteriori facilitazioni per le“le persone con capacità di deambulazione sensibilmente ridotta”, in deroga a limitazioni generali e nelle
zone a traffico limitato, purchè, sulla “parte anteriore del veicolo”, sia esposto lo “speciale contrassegno” descritto.
14
Garante per la protezione dei dati personali
CITTADINI CHE SI TROVANO IN SPECIALI SITUAZIONI.
Per quanto riguarda invece i cittadini che si trovano in speciali situazioni per ragioni di dimora, professione, ecc., la normativa di riferimento è costituita dall’art.7, commi 9 e 11, del codice della strada.
Tali disposizioni prevedono che i comuni possano subordinare al pagamento di una somma l’ingresso e la circolazione dei veicoli a motore, nelle “zone a traffico limitato”, con facoltà (esercitabile
anche in riferimento ad altre zone, ad esempio di particolare rilevanza urbanistica) di riservare superfici o spazi di sosta per i veicoli privati dei soli residenti nella zona, a titolo gratuito od oneroso.
Anche in tali casi, risulta che numerose amministrazioni comunali hanno previsto l’obbligo di
esporre all’interno del veicolo contrassegni aventi caratteristiche analoghe a quelle sopra descritte per
le persone portatrici di handicap, nei quali sono riportate le generalità o l’indirizzo del titolare, oppure la fotocopia del libretto di circolazione o di un documento d’identità da cui si evinca la residenza dell’interessato.
LA LEGGE N. 675/1996
L’individuazione delle citate tipologie dipermessi risponde all’esigenza di mettere in luce una
loro significativa differenza, derivante dalla diversa categoria di soggetti che ne fruiscono.
Infatti, nel caso dei portatori di handicap motorio, il contrassegno, oltre ad alcuni dati “comuni”(generalità ed indirizzo dei titolari), reca in evidenza, attraverso la dicitura “parcheggio invalidi”
associata alle generalità, un dato “sesibile”, attinente alla salute dell’interessato, cheè tutelato in modo particolare dalla leggen.675/1996.
Ciò premesso, per valutare l’incidenza della disciplina in materia di protezione dei dati personali sulla problematica in esame, occorre fare riferimento alle disposizioni della legge n. 675 relative ai trattamenti effettuati dai soggetti pubblici.
Infatti, il trattamento da parte dei soggetti pubblici dei dati “sensibili” indicati nell’art.22, comma 1, della legge n.675 è consentito solo se previsto da espressa e dettagliata disposizione di legge
(art.22, comma 3).
In via transitoria (in attesa che sia data attuazione alla delega prevista dallalegge n.675 del 1996
e, da ultimo, dalla leggen.344/1998), le pubbliche amministrazioni possono peraltro proseguire i trattamenti di dati già raccolti o comunque iniziati prima dell’entrata in vigore della legge n.675 (8 maggio 1997), previa comunicazione al Garante. Cio’ sino all’8 maggio 1999, data entro la quale dovrebbero essere emanate disposizioni integrative al riguardo (art.41, comma 5, come modificato, da ultimo, dal d.lg. n.389 del 1998).
Per quanto riguarda i portatori di handicap motorio, tale disciplina transitoria consente quindi
alle autorità comunali di proseguire la raccolta e il conseguente trattamento dei dati sanitari necessari per il rilascio della speciale autorizzazione nei termini descritti dal citato articolo 381 del regolamento di attuazione del codice della strada (il richiedente deve dichiarare i propri “dati personali
e gli elementi oggettivi che giustificano la richiesta” e fornire idonea certificazione medica dalla quale si ricavi la riduzione della capacità di deambulazione).
Va peraltro segnalata la necessità che la prevista legislazione delegata completi la normativa in
materia, in quanto il citato art.381 del regolamento rappresenta una fonte inadeguata per individuare le garanzie richieste dal citato art.22, comma 3, sebbene la necessità dell’autorizzazione sia prevista dall’articolo 188 del codice della strada, il quale demanda al regolamento stesso l’individuazione
dei casi e dei limiti in cui essa puo’ essere rilasciata.
Ai trattamenti di dati “comuni” si applica invece l’articolo 27 della legge n.675/1996, in base
al quale i trattamenti stessi possono essere effettuati soloiservata alla diffusione dei dati a soggetti privati, consentita solo se prevista da una norma primaria o secondaria (art.27, comma 3). Pertanto, anche per questa seconda categoria di dati la raccolta oggi effettuata secondo le modalità previste dal
citato art.381 del regolamento appare legittima, in quanto tale fonte secondaria risulta adeguata alle
garanzie richieste.
15
Garante per la protezione dei dati personali
Peraltro, rispetto a tuttii dati così legittimamente acquisiti, le autorità comunali:
Devono osservare gli obblighi previsti dalla legge n.675 per quanto riguarda le informazioni raccolte dall’interessato (art.10, commi 1 e 2);
b) devono inoltre rispettare il principio di “pertinenza”, in base al quale possono essere trattati solo i dati pertinenti e non eccedenti rispetto alla finalità per la quale sono stati raccolti o successivamente trattati (art.9, comma 1, lett.a) e d);
devono infine predisporre idonee misure di sicurezza per la conservazione delle informazioni
trattate(art.15).
DIFFUSIONE DELLE INFORMAZIONI
Se la raccolta dei dati e le successive operazioni di trattamento possono ritenersi conformi alle
legge n.675, nei termini descritti, non altrettanto può dirsi per la diffusione dei dati stessi, ove essa
sia effettuata con le modalità previste dallo stesso articolo 381 del regolamento, a norma del quale
l’autorizzazione è “resa nota”mediante il modello di contrassegno per invalidi cui si riferiscono le segnalazioni.
Infatti, l’inclusione nel contrassegno di alcuni dati pure previsti nel modello approvato con il
medesimo regolamento, contrasta con l’appena ricordato principio di “pertinenza”, specie se rapportata all funzione amministrativa in concreto esercitabile dall’organo comunale, in sede di controllo
sulla liceità e sul corretto utilizzo dei permessi speciali di circolazione e di sosta.
Ad assicurare il corretto esercizio di tale funzione, è sufficiente infatti che il contrassegno rechi
in evidenza l’indicazione del Comune competente e del numero di autorizzazione dal quale ogni soggetto preposto al controllo può comunque risalire agevolmente al titolare del permesso e alla relativa
pratica, ed accertare la genuinità del documento, la validità del permesso e il suo uso conforme alle
prescrizioni eventualmente impartite dall’autorità comunale.
Peraltro, la stessa dicitura “parcheggio invalidi” può essere ritenuta superflua, in quanto la
stampigliatura del disegno che figura sul contrassegno è di per sé sufficiente ad assicurare l’immediata leggibilità del titolo che dà diritto alle facilitazioni.
Semmai, le generalità del titolare potrebbero essere riportate sul lato posteriore del contrassegno o, comunque opportunamente celate all’immediata visibilità dall’esterno del veicolo, rendendole
comunque immediatamente conoscibili in caso di eventuale richiesta di un pubblico ufficiale.
ALTRI CASI
Con riferimento invece ai permessi rilasciati per motivi diversi dalla difficoltà di deambulazione, nei cui contrassegni non appaiono quindi dati “sensibili”, si è accennato già che numerosi regolamenti comunali prevedono il rilascio di permessi accompagnati dall’obbligo di esporre un contrassegno simile a quello previsto per i portatori di handicap motorio.
Per questi contrassegni, vale quanto già osservato in relazione ai trattamenti di dati personali
“comuni”.
Se il regolamento comunale appare infatti una fonte idonea per disciplinare la materia alla stregua del citato art.27, tuttavia l’applicazione dei nuovi princìpi introdotti dalla legge n.675/1996 e, in
particolare, di quello di “pertinenza”, comporta che anche per questi permessi debba ritenersi non
conforme alla nuova normativa sui dati personali l’esposizione di contrassegni del tipo di quelli segnalati.
Ai fini del corretto esercizio dei controlli di polizia amministrativa, infatti, appare sufficiente indicare sul contrassegno il numero di targa e il numero progressivo del permesso e non anche le generalità o l’indirizzo del relativo titolare: i primi dati sono infatti sufficienti per consentire un primo ed
immediato riscontro circa l’esistenza di un’autorizzazione all’ingresso nelle zone limitate ed al parcheggio riservato, ai fini dell’applicazione del divieto d’accesso e delle sanzioni amministrative previste.
16
Garante per la protezione dei dati personali
Resta salva, come per i permessi dei portatori di handicap, la possibilità che le generalità siano riportate sulla parte posteriore del contrassegno o siano rese non visibili, comunque, dall’esterno
dell’abitacolo.
L’indicazione del completo indirizzo del titolare del permesso (o della sola via di residenza, come avvienne in alcune città), può risultare semmai giustificata qualora il permesso stesso sia limitato a determinate strade oaddirittura solo in quella di dimora o residenza.
Analoghe osservazioni a quelle sin qui formulate vanno espresse rispetto all’uso invalso in alcuni comuni di obbligare le persone interessate ad esporre all’interno del veicolo una fotocopia del libretto di circolaazione o di un documento d’identità. In tali casi, ferma restando la preferibilità del ricorso ai contrassegni, l’esposizione della fotocopia del libretto di circolazione può risultare giustificata qualora sia resa nota agli interessati la possibilità di poter depennare, sulle fotocopie, le proprie
generalità ed indirizzo. Ciò anche alla luce di alcuni disagi che sono stati rappresentati al Garante da
cittadini peoccupati di dover rivelare la propria residenza ed identità a qualunque passante.
CONCLUSIONI
Sulla base delle predette considerazioni, il Garante:
segnala al Governo, ai sensi dell’articolo31, comma 1, lett.m), della leggen.675 del 1996, l’opportunità di un intervento normativo aal fine di conformare ai princìpi sopra esposti il modello di contrassegno per invalidi allegato al regolamento di attuazione del codice della strada approvato con
d.P.R. 16 dicembre 1992, n.495 e, comunque, di promuovere l’introduzione delle garanzie previste
dall’art.22, comma 3, della legge n.675 anche attraverso i decreti delegati previsti dalle leggi
nn.676/1996 e 344/1998;
segnala ai comuni interessati dalle segnalazioni pervenute, ai sensi dell’articolo 31, comma 1,
lett.c), della legge n.675 del 1996, la necessità di conformare all’art.9 della legge n.675 gli eventuali regolamenti comunali adottati e, comunque, l’attività provvedimentale concernente i permessi ed i
contrasseni rilasciati in deroga alle limitazioni alla circolazione e alla sosta, diversi da quelli di cui
all’articolo381 del d.P.R. 16 dicembre 1992, n.495, di permettere altresì che gli interessati possano
evitare di riportare sui contrassegni le proprie generalità -ovvero cancellarle ove già riportate- nelle
more della modifica del modello di cui al punto a), e possano comunque mascherare le proprie generalità e l’indirizzo riportati nelle fotocopie delle carte di circolazione.
IL PRESIDENTE
17
Garante per la protezione dei dati personali
Nel parere formulato al Ministero dei Trasporti si evidenzia che i soggetti pubblici, a differenza dei privati e degli enti pubblici economici, non devono richiedere il consenso degli interessati e l’autorizzazione al Garante per poter trattare dati sensibili, ma devono verificare che
tali trattamenti siano conformi a puntuali disposizioni di legge che specifichino i tipi dei dati
che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico
perseguite (art. 22, comma 3, legge n. 675/1996 come modificato dal decreto legislativo 11
maggio 1999, n.135).
Roma, 9 giugno 1999
Ministero dei trasporti e della navigazione
Gestione governativa ferroviaria adriatico – sangritana.
Piazzale stazione
66034 Lanciano (CH)
OGGETTO: quesito relativo al trattamento dei dati sensibili da parte di un soggetto pubblico (art. 22, comma 3, legge n. 675/1996).
Codesta Amministrazione ha chiesto di sapere se il trattamento effettuato su alcuni dati sensibili dei propri dipendenti per la gestione del rapporto di lavoro è stato considerato dal Garante nell’autorizzazione generale relativa ai datori di lavoro (cfr. l’autorizzazione n. 1/1998 emanata il 30 settembre 1998 e pubblicata sulla Gazzetta ufficiale il 1° ottobre 1998) e se sussiste o meno l’obbligo di
notificazione al Garante.
Al riguardo si osserva che i soggetti pubblici, a differenza dei privati e degli enti pubblici economici, non devono richiedere il consenso degli interessati e l’autorizzazione al Garante per poter trattare dati sensibili, ma devono verificare che tali trattamenti siano conformi a puntuali disposizioni di
legge che specifichino i tipi dei dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite (art. 22, comma 3, legge n. 675/1996). Codesta Amministrazione, pertanto, non rientra nell’ambito di applicazione dell’autorizzazione n.1/1998, rilasciata
nei confronti dei datori di lavoro privati e agli enti pubblici economici.
La materia è ora regolata dal d. lg. 11 maggio 1999, n. 135, che all’art. 9 disciplina la materia
dei rapporti di lavoro (v. anche le disposizioni contenute negli artt. 1 - 5 del decreto, che dovranno essere sviluppate dalle amministrazioni interessate secondo quanto previsto dal medesimo art. 5).
Per appurare poi se, ed in quale misura, codesto Ente debba procedere alla notificazione al Garante, si dovrà porre attenzione alle ipotesi di semplificazione e di esonero rispettivamente previste
dai commi 5 bis e 5 ter dell’art. 7 della legge che rendono possibile, ad esempio, non notificare i trattamenti di dati non sensibili effettuati per adempiere ad un obbligo normativo.
Per quanto riguarda i dati sensibili e di carattere giudiziario di cui agli artt. 22 e 24 della legge, invece, i soggetti pubblici devono procedere alla notificazione una tantum, in forma semplificata
(art 7, comma 5 bis), fatto salvo l’esonero relativo ai trattamenti finalizzati all’adempimento di specifici obblighi contabili, retributivi, previdenziali, assistenziali e fiscali (art. 7, comma 5 ter lett. e)).
L’eventuale notificazione deve essere redatta secondo il modello approvato dal Garante di cui si
allega copia sia su supporto informatico, sia su versione cartacea e deve pervenire al Garante per la
protezione dei dati personali, via della Chiesa Nuova 8, in plico raccomandato con avviso di ricevimento o mediante consegna a mani proprie, con la ricevuta di pagamento sul conto corrente n.
97204002 di lire 25.000 o di 15.000 a seconda che si utilizzi il modello cartaceo o quello informatico.
Si coglie l’occasione per inviare copia di una deliberazione del Garante relativa al trattamento
dei dati personali da parte di soggetti pubblici.
IL PRESIDENTE
18
Garante per la protezione dei dati personali
I soggetti pubblici non operano in base al consenso degli interessati e possono effettuare
solo i trattamenti di dati connessi all’esercizio delle proprie funzioni istituzionali e rispondenti, in caso di divulgazione a terzi, a puntuali previsioni di legge o di regolamento (art. 27 legge n. 675/1996).
Roma, 16 giugno 1999
Ministero delle finanze
Dipartimento delle entrate
Direzione centrale per la riscossione
Servizio II - Div. III
Roma
OGGETTO: decreto ministeriale recante norme per stabilire i casi, i limiti e le modalità di esercizio delle facoltà di accesso dei concessionari della riscossione agli uffici pubblici (art. 18, comma 3, d.lg. 112/1999).
La legge-delega 28 settembre 1998, n. 337, recante norme in materia di riordino della riscossione, prevede l’emanazione di un provvedimento legislativo che disciplini l’accesso dei concessionari, con le opportune cautele e garanzie, alle informazioni disponibili presso l’anagrafe tributaria,
con obbligo di utilizzazione delle stesse ai soli fini dell’espletamento delle procedure esecutive e con
l’obbligo, per i concessionari medesimi, di utilizzare sistemi informativi collegati fra loro e con quelli dell’amministrazione finanziaria e procedure informatiche uniformi per l’espletamento degli adempimenti amministrativo-contabili contemplati dalla legge (art. 1, comma 1, lett. h) nn. 7 e 8).
L’art. 18, comma 3, del decreto legislativo 13 aprile 1999, n. 112, rubricato “Accesso dei concessionari agli uffici pubblici”, prevede che con decreto del Ministero delle finanze, sentito il Garante per la protezione dei dati personali, sono stabiliti i casi, i limiti e le modalità di esercizio delle facoltà di accesso dei concessionari della riscossione agli uffici pubblici e le cautele a tutela della riservatezza dei debitori.
Con la nota in riferimento è stato qui inviato, ai fini del previsto parere, lo schema di decreto attuativo delle citate disposizioni legislative.
Al riguardo, si formulano le seguenti considerazioni.
Questa Autorità ravvisa l’esigenza che il decreto in esame chiarisca i ruoli e le responsabilità
dell’Amministrazione finanziaria e dei concessionari rispetto ai trattamenti di dati personali.
Com’è noto, la legge n. 675/1996 fissa un denominatore comune di princìpi e di regole valido
per qualunque trattamento (notificazione, requisiti di correttezza del trattamento e di pertinenza dei
dati, informativa all’interessato, diritti di accesso alle informazioni personali, misure di sicurezza,
ecc.) e stabilisce poi ulteriori regole, differenziate a seconda che il “titolare” sia un soggetto pubblico o privato.
Di regola, i soggetti pubblici non operano in base al consenso degli interessati e possono effettuare solo i trattamenti di dati connessi all’esercizio delle proprie funzioni istituzionali e rispondenti,
in caso di divulgazione a terzi, a puntuali previsioni di legge o di regolamento (art. 27 legge n.
675/1996). I soggetti privati, invece, possono trattare informazioni personali in presenza del consenso degli interessati o di uno degli altri presupposti equipollenti (artt. 12 e 20 legge n. 675/1996).
Nello svolgimento dei propri compiti istituzionali, ciascun soggetto pubblico può ricorrere, poi,
a privati, affidando agli stessi determinate attività in concessione.
In riferimento a quest’ultima ipotesi, l’amministrazione finanziaria deve precisare il ruolo assunto dai concessionari della riscossione, i quali, ai sensi della legge n. 675/1996, possono essere
considerati, alternativamente, come:
19
Garante per la protezione dei dati personali
collaboratori esterni del soggetto pubblico, qualora coadiuvino l’amministrazione trattando dati personali anche al di fuori della relativa struttura, ma nell’ambito di un’attività che ricade nella sfera di titolarità e di responsabilità dell’amministrazione stessa;
figure soggettive del tutto distinte dall’amministrazione, che decidono autonomamente in ordine al trattamento delle informazioni e si assumono, in concreto, ogni responsabilità in proposito.
È opportuno che il Ministero faccia chiarezza sul punto, tenendo presente che ai fini dell’applicazione della legge n. 675/1996 i concessionari, nel primo caso, sono parte sostanziale della struttura pubblica (e agli stessi è quindi applicabile il particolare regime previsto per la pubblica amministrazione), mentre nel secondo sono, al contrario, privati che devono operare in base alle regole dettate dalla medesima legge per i soggetti privati e gli enti pubblici economici.
In alcune ipotesi, la scelta di designare un responsabile del trattamento può però apparire impraticabile, in particolare:
qualora i concessionari (e gli eventuali sub-concessionari) siano numerosi, perché ciò determinerebbe alcuni inconvenienti nell’esecuzione degli adempimenti, ad esempio, della notificazione e
dell’informativa;
laddove il privato abbia una piena ed effettiva autonomia riguardo non solo alla disciplina del
servizio e alle scelte tecnico-operative, ma anche alle decisioni principali sulle finalità e sulle modalità di utilizzazione dei dati (qualità e quantità delle informazioni trattabili, operazioni eseguibili, logiche di aggregazione e di elaborazione dei dati, misure di sicurezza).
Tuttavia, l’attuale schema di decreto non sembra attribuire al concessionario un ruolo autonomo
rispetto all’Amministrazione finanziaria o particolari poteri sui trattamenti di dati ad esso affidati (le
cui principali caratteristiche dovrebbero essere determinate con precisione nello schema di decreto
medesimo).
In ogni caso, si evidenzia che l’art. 18, commi 1 e 2, del d.lg. . 112/1999 consente ai concessionari della riscossione, ai soli fini della riscossione mediante ruolo, di accedere sia agli uffici pubblici, per conoscere gli atti riguardanti i beni dei debitori iscritti a ruolo e dei coobbligati, sia ai sistemi informativi del Ministero delle finanze e degli altri soggetti creditori, per conoscere le informazioni in essi contenute.
Va però tenuto conto che per l’eventuale comunicazione ai concessionari di dati c.d. sensibili o
attinenti a provvedimenti giudiziari, dovrà osservarsi la disciplina introdotta dagli artt. 1-5 e 10 del
d.lg. 11 maggio 1999, n. 135.
Per un compiuto esame dei presupposti e dei requisiti del trattamento effettuato dal concessionario, è opportuno, poi, chiarire se il decreto ministeriale in esame abbia o meno natura regolamentare, poiché la legge n. 675/1996 rende possibile l’utilizzazione e la divulgazione di informazioni personali qualora tali operazioni siano previste da puntuali disposizioni di legge o di regolamento (cfr.
artt. 12, comma 1, lett. a), 20, comma 1, lett. c) e 27, commi 2 e 3).
Ciò premesso in linea generale, è necessario formulare ulteriori osservazioni su alcuni profili
dello schema che hanno riflessi più immediati nella materia del trattamento di dati personali.
All’art. 1 si ritiene opportuno sostituire le parole “..ad acquisire con sistemi informatici ..” con
le parole “..a richiedere anche mediante connessione telematica..”.
Si deve altresì segnalare nel medesimo articolo che la previsione relativa alle “informazioni disponibili presso il Sistema informativo del Ministero delle finanze, ivi comprese quelle contenute
presso i sistemi ad esso collegati” è generica e che è quindi necessario specificare meglio i tipi di dati a cui si intende far accedere il concessionario, nel rispetto dei princìpi di pertinenza e non eccedenza dei dati sanciti dall’art. 9, comma 1, lett. d), della legge n. 675 (che il citato d.lg. n. 135/1999
rafforza in riferimento ai dati c.d. sensibili e giudiziari), precisando altresì quali siano le informazioni contenute presso i non meglio individuati “sistemi ad esso collegati”.
Analogamente, occorre specificare con particolare attenzione la natura delle “..informazioni disponibili presso gli Uffici pubblici, per prendere visione e per estrarre copia in carta libera degli atti, ovvero delle notizie necessarie..” (art. 6).
Si ritiene altresì opportuno che sia lo stesso decreto in esame a disciplinare gli aspetti relativi
all’individuazione delle modalità per l’accesso alle informazioni del sistema informativo del Ministero delle finanze e che non siano pertanto “sub-delegati” (art. 3, 2° periodo, e art. 4) ad altra fonte
(Istruzioni del Centro informativo del Dipartimento delle entrate).
20
Garante per la protezione dei dati personali
All’art. 4, ultimo periodo, è opportuno sostituire le parole “..ai soli fini della riscossione dei tributi.” con le parole “..ai soli fini della riscossione mediante ruolo.” Ciò in conformità al disposto di
cui all’art. 18, commi 1 e 2, del citato d.lg. n. 112/1999.
All’art. 7, primo periodo, non è chiaro il motivo per cui la conoscibilità da parte dei concessionari delle informazioni detenute da tutti gli altri uffici pubblici circa i beni dei debitori e dei coobbligati riguardi soltanto “i crediti non erariali”.
Si nutrono perplessità, sotto il profilo di conformità al d.lg. n. 112/1999, in merito alla costituzione, con il decreto in esame, di una banca dati contenente sia l’elenco degli enti impositori che hanno fornito informazioni ai concessionari, sia la tipologia delle informazioni stesse (art. 7, ultimo periodo).
Non è precisato altresì se i concessionari siano tenuti a registrare le informazioni acquisite in
appositi archivi elettronici e se siano tenuti a darne comunicazione anche agli enti impositori; né è
stabilito in quale maniera i concessionari siano abilitati a gestire tutte le informazioni acquisite (con
riferimento alle misure organizzative e tecniche per la protezione e la sicurezza dei dati).
Si rileva, infine, che gli artt. 1, 3, 4, 5 e 6 recano una clausola di stile generica con la quale si
dispone il rispetto delle norme a tutela della riservatezza dei dati personali. Al riguardo si ritiene opportuno espungere tali clausole generiche introducendo, in un apposito articolo, puntuali indicazioni
in ordine alle finalità e ai limiti dell’utilizzazione delle informazioni personali da parte dei concessionari della riscossione, con particolare riguardo all’individuazione di appropriate misure relative alla sicurezza dei dati (art. 15, legge n. 675/1996).
Queste indicazioni dovrebbero specificare che i trattamenti effettuati dai concessionari possono
riguardare le finalità e i dati strettamente collegati all’espletamento delle procedure esecutive, secondo modalità connesse a tale scopo e con un generale divieto di divulgazione dei dati fuori dei casi espressamente previsti. Appare altresì opportuno inserire un riferimento all’adozione di misure di
sicurezza in relazione ai sistemi di connessione telematica che verranno realizzati.
Questa Autorità resta a disposizione per ogni ulteriore collaborazione ritenuta utile.
IL PRESIDENTE
21
Garante per la protezione dei dati personali
I compiti affidati alla Commissione per le adozioni internazionali, dallo schema di decreto in esame, prevedono il trattamento di alcuni dati personali e sensibili (origine razziale
ed etnica convinzioni religiose, dati inerenti allo stato di salute); il Garante segnala la necessità di rispettare i princìpi generali sanciti dagli artt. 2, 3 e 4 del d.lg. n. 135/1999 e l’opportunità di identificare, sulla scorta anche di quanto previsto nella Convenzione ratificata
con la legge n.476/1998, (v., ad es., il Capitolo VI sulle condizioni procedurali dell’adozione
internazionale), i tipi di dati sensibili e le operazioni di trattamento necessarie allo svolgimento delle funzioni della Commissione (art. 22, 3-bis, citato).
Roma, lì 25 giugno 1999
Presidenza del Consiglio dei ministri
Gabinetto del sig. Ministro per la solidarietà sociale
Via V. Veneto, 56
00187 - ROMA
OGGETTO: schema di regolamento recante norme per la costituzione, l’organizzazione e il funzionamento della Commissione per le adozioni internazionali, a norma dell’articolo 7, commi 1 e 2, della legge 31 dicembre 1998, n. 476. Richiesta di parere ai sensi dell’art. 31, comma 2, della legge n. 675/1996.
Lo schema di decreto in oggetto, nel disciplinare le funzioni e i compiti della Commissione per
le adozioni internazionali, prevede (v. art. 2, commi 4, 5 e 6) la possibilità per quest’ultima di:
raccogliere “in forma statistica i dati dei minori adottati o affidati a scopo di adozione di cui autorizza l’ingresso ed ogni altro dato utile per la conoscenza del fenomeno delle adozioni internazionali”;
acquisire “ogni anno dai tribunali per i minorenni, dalle regioni e dagli enti autorizzati i dati,
le informazioni e le valutazioni sull’adozione internazionale”;
pubblicare “dati statistici relativi alle adozioni internazionali” avvalendosi del Centro nazionale di documentazione ed analisi per l’infanzia;
conservare, nella segreteria di sicurezza istituita presso al Segreteria tecnica della Commissione, “gli atti e i documenti relativi alle procedure di adozione internazionale acquisiti ai sensi dell’art.
39, comma 1, lett. e) della legge sull’adozione”.
In proposito, dai chiarimenti intervenuti nei contatti intercorsi, per le vie brevi, tra l’Ufficio del
Garante e l’Ufficio Legislativo di codesto Ministero, è emerso che i dati raccolti dalla Commissione
per esigenze statistiche o di studio, di informazione e di ricerca sono raccolti e trattati in forma anonima e, quindi, si provvederà a specificare tale aspetto con un apposito inciso da inserire nelle predette previsioni regolamentari.
Alcuni compiti attribuiti alla Commissione dalla legge sull’adozione (v. art. 39 della legge 4
maggio 1983, n. 184, così come modificata dalla legge n. 476/1998 con riferimento all’adozione di
minori stranieri) rendono però necessario il trattamento di dati personali, i quali sono appunto contenuti o comunque riconducibili agli atti e ai documenti relativi alle procedure di adozione internazionale che la Commissione deve poi conservare nella propria segreteria di sicurezza (cfr. art. 39, comma 1, lettere e), h) e i) della legge n. 183 e il citato art. 2, comma 6, dello schema in esame).
Tali atti e documenti possono peraltro riguardare anche informazioni aventi natura sensibile (ad
esempio, dati relativi alla salute oppure all’origine razziale o etnica del minore, nonché alla situazione sanitaria oppure alle convinzioni ideologiche o religiose degli aspiranti all’adozione), che possono
essere raccolte ed utilizzate dalla Commissione in base alle prescrizioni dettate dal legislatore per il
22
Garante per la protezione dei dati personali
trattamento dei dati sensibili da parte dei soggetti pubblici (art. 22, commi 3 e 3-bis, della legge n.
675/1996, come modificata dal recente d.lg. n. 135/1999).
Al riguardo, si ritiene che la Convenzione per la tutela dei minori e la cooperazione in materia
di adozione internazionale, ratificata con la legge n. 476/1998, nonché la legge n. 183/1984 (Capo I
del Titolo III “Dell’adozione dei minori stranieri”) contengano disposizioni sufficienti ad autorizzare
il trattamento delle predette informazioni di carattere sensibile da parte delle amministrazioni ed enti pubblici competenti, ivi compresa la Commissione in oggetto, in quanto specificano le rilevanti finalità di interesse pubblico perseguite, i tipi di dati trattabili e le operazioni eseguibili. Resta ferma,
per la stessa Commissione, la necessità di rispettare i princìpi generali sanciti dagli artt. 2, 3 e 4 del
d.lg. n. 135/1999 e l’opportunità di identificare, sulla scorta anche di quanto previsto nella predetta
Convenzione (v., ad es., il Capitolo VI sulle condizioni procedurali dell’adozione internazionale), nello schema in esame o in un successivo regolamento i tipi di dati sensibili e le operazioni di trattamento necessarie allo svolgimento delle funzioni della Commissione (art. 22, 3-bis, citato).
Infine, per quanto riguarda l’attività degli enti autorizzati dalla Commissione che operano nel
campo dell’adozione internazionale, si suggerisce di modificare l’art. 12, comma 2, dello schema, eliminando al comma 2 le parole “contenute nella legge 31 dicembre 1996, n. 675” e lasciando, quindi,
un richiamo più generale alla normativa sulla protezione dei dati personali, vista anche la possibilità
di successive integrazioni e modificazioni alla legge n. 675. Si precisa, ad ogni buon fine, che per tali enti privati si porrà l’esigenza, in relazione al trattamento di eventuali dati sensibili degli interessati, di acquisire il loro consenso scritto (per i minori, questo consenso potrà essere manifestato dai
soggetti esercenti la potestà o la relativa tutela) e di seguire le altre prescrizioni dettate dal Garante
nelle autorizzazioni generali già rilasciate nel 1997 e 1998 (v., in particolare, le autorizzazioni nn. 2
sui dati sanitari e 3 sugli organismi di tipo associativo).
IL PRESIDENTE
23
Garante per la protezione dei dati personali
In relazione al trattamento di dati svolto dal Comitato per i minori stranieri, ai sensi dell’art. 22,
comma 3-bis, della legge n. 675/1996, come modificato dall’art. 5, comma 3, del citato d. lg. n. 135,
rimangono da identificare, i tipi di dati e le operazioni strettamente necessarie. Tale ricognizione potrebbe essere effettuata nello schema in oggetto o in altro provvedimento regolamentare, il cui iter di approvazione dovrebbe comunque essere avviato da codesto Ministero entro il 31 dicembre di quest’anno
Roma, lì 25 giugno 1999
Presidenza del Consiglio dei ministri
Gabinetto del sig. Ministro per la solidarietà sociale
Via V. Veneto, 56
00187 - ROMA
OGGETTO: schema di decreto del Presidente del Consiglio dei Ministri recante:
“Regolamento concernente i compiti del Comitato per i minori stranieri, a norma dell’art. 33, commi 2 e 2-bis, del decreto legislativo 25
luglio 1998, n. 286”. Richiesta di parere ai sensi dell’art. 31, comma
2, della legge n. 675/1996.
Lo schema di decreto in oggetto disciplina le attività del Comitato per i minori stranieri nell’ambito delle disposizioni previste dal testo unico sull’immigrazione e sulla condizione dello straniero (art. 33 del d.lg. n. 286/1998, come modificato dall’art. 5 del d.lg. n. 113/1999) e definisce le
regole e le modalità per il loro ingresso, accoglienza e soggiorno in Italia.
I compiti attribuiti al Comitato prevedono la raccolta ed il trattamento di diversi dati personali
relativi ai minori ed alle loro famiglie di origine e, in particolare, la tenuta dell’elenco dei minori stranieri accolti nell’ambito di iniziative relative a programmi di accoglienza temporanea promossi da enti, associazioni o famiglie italiane e all’affidamento temporaneo e al rimpatrio dei minori stessi (art.
2, comma 2, lettere c) e d), dello schema), nonché il censimento dei minori stranieri già presenti nel
territorio italiano e “non accompagnati”, ossia privi di assistenza o di rappresentanza da parte dei genitori o di altri adulti legalmente responsabili (art. 2, comma 2, lett. h)).
Sotto quest’ultimo profilo, si stabilisce l’obbligo per “i pubblici ufficiali, gli incaricati di pubblico servizio e gli enti, in particolare, che svolgono attività sanitaria e di assistenza, che siano comunque a conoscenza dell’ingresso o della presenza” di minori non accompagnati “di darne immediata notizia, con qualsiasi mezzo, al Comitato” (con indicazioni di generalità, nazionalità, condizioni fisiche,
ecc. del minore: v. art. 5, comma 1).
Inoltre, viene prevista l’autorizzazione “nel rispetto delle leggi sulla tutela della riservatezza” all’istituzione e alla gestione “di una banca dati, contenente gli elementi necessari per l’attuazione e la
garanzia dei diritti inerenti alla popolazione di minori stranieri ed ogni altra notizia o informazione
utili per il raggiungimento degli scopi istituzionali del Comitato” (art. 4, comma 3).
In relazione alle attività del Comitato che comportano eventualmente l’acquisizione e l’uso di dati sensibili, va evidenziato che il trattamento di tali dati risulta espressamente autorizzato in quanto il
d.lg. n. 135/1999 ha riconosciuto la rilevanza a livello di interesse pubblico delle attività dirette all’applicazione della disciplina in materia di cittadinanza, immigrazione e condizione dello straniero (v.
art. 7). Ai sensi dell’art. 22, comma 3-bis, della legge n. 675/1996, come modificato dall’art. 5, comma 3, del citato d. lg. n. 135, rimangono pertanto da identificare, secondo i princìpi stabiliti agli artt.
2, 3 e 4 dello stesso decreto, i tipi di dati e le operazioni strettamente necessari e pertinenti in relazione alle specifiche attività svolte dal Comitato. Tale ricognizione potrebbe essere effettuata nello schema in oggetto o in altro provvedimento regolamentare, il cui iter di approvazione dovrebbe comunque
essere avviato da codesto Ministero entro il 31 dicembre di quest’anno (l’Ufficio del Garante resta a
piena disposizione per fornire ogni chiarimento o collaborazione utile in proposito).
24
Garante per la protezione dei dati personali
Per quanto concerne la creazione della banca dati relativa alla popolazione dei minori stranieri, si osserva che la relativa previsione regolamentare è generica e, in sostanza, si limita ad indicare
le sole finalità generali per le quali viene istituita, lasciando al Comitato un’ampia discrezionalità sulle informazioni da inserirvi. In questo senso, appare necessario andare oltre un semplice richiamo al
rispetto della normativa sulla tutela della riservatezza, precisando l’ambito e le principali caratteristiche del suo funzionamento della banca dati e definendo:
le categorie di dati personali in essa contenute, con particolare riferimento ad informazioni
aventi natura sensibile;
le relative modalità di funzionamento e di gestione in relazione, soprattutto, all’accesso ai dati,
sia interno (uffici responsabili ed impiegati incaricati di consultare o elaborare i dati), sia esterno (nei
riguardi di altre amministrazioni pubbliche o di soggetti privati);
almeno in linea generale, apposite misure da adottare per la custodia, la conservazione e la sicurezza dei dati.
Infine, per quanto concerne l’art. 5, comma 1, dello schema, inerente al censimento dei minori
stranieri non accompagnati già presenti in Italia, si suggerisce di inserire dopo le parole: “con qualsiasi mezzo” le seguenti: “idoneo a garantire che la segnalazione sia conoscibile dai soli soggetti incaricati”.
IL PRESIDENTE
25
Garante per la protezione dei dati personali
La soluzione prospettata dal Ministero della Pubblica Istruzione sulla possibilità per gli istituti
scolastici di accogliere le richieste formulate dagli alunni di comunicare i propri dati personali per le
finalità connesse all’inserimento professionale (nei limiti stabiliti dalle richieste medesime relativamente ai dati da divulgare), è in linea con i prìncipi della legge n. 675/1996.
Roma, lì 15 luglio 1999
Ministero della pubblica istruzione
Gabinetto del Sig. Ministro
ROMA
OGGETTO: orientamento, formazione, inserimento professionale. Comunicazione
degli studenti.
Con riferimento alle note sopra indicate, si fa presente che appare praticabile, nelle more
dell’adozione di una disciplina regolamentare sulla divulgazione da parte delle scuole dei dati degli
studenti, la soluzione prospettata da codesto Ministero sulla possibilità per gli istituti scolastici di
accogliere le richieste formulate dagli stessi alunni o, se minorenni, dagli esercenti la potestà
genitoriale di comunicare i propri dati personali per le finalità dell’orientamento, della formazione,
della selezione ed inserimento professionale nei limiti desumibili dalle richieste medesime
relativamente ai dati da divulgare.
Analogamente a quanto ritenuto nei provvedimenti di cui si allega copia, si suggerisce di invitare le scuole a provvedere in base ad una delega espressa da parte degli interessati o di chi esercita
la relativa potestà.
Si resta a disposizione per ogni ulteriore chiarimento.
IL PRESIDENTE
26
Garante per la protezione dei dati personali
Questa Autorità, al fine di evitare che vi sia una forte concentrazione di dati, anche attraverso ampi collegamenti tra diversi tipi di informazioni, suggerisce di adottare tutte le misure idonee per garantire la riservatezza di terzi. Si ritiene quindi fortemente auspicabile, nel
caso in esame, una gestione informatica separata, per ciascun comune, dei dati relativi agli
atti dello stato civile.
Roma, 21/7/99
Presidenza del Consiglio dei
Ministri
Dipartimento della funzione
pubblica
Ufficio legislativo
ROMA
OGGETTO: schema di d.P.R. recante “Regolamento per la revisione e la semplificazione dell’ordinamento dello stato civile, ai sensi dell’art. 2, comma 12 della legge 127/97”.
Con la nota sopra evidenziata è stato richiesto il parere di questa Autorità in merito allo schema
di regolamento indicato in oggetto.
L’atto in esame, come si legge anche nella relazione di accompagnamento, si propone di “ridurre alle fasi essenziali gli atti e i procedimenti di stato civile, allo scopo di semplificare e di rendere
più agevoli gli adempimenti chiesti o spettanti ai cittadini”. A tal fine si prevede la formazione degli
atti e dei relativi registri su supporto informatico e l’utilizzazione di sistemi automatizzati per l’acquisizione e per il rilascio diretto di estratti e di certificati dello stato civile.
Per assicurare la necessaria continuità al nuovo sistema in caso di eventi dannosi o calamitosi,
lo schema prevede l’istituzione di un archivio nazionale informatico dello stato civile.
Tale archivio nazionale, oltre alla funzione principale di disaster recovery, sarebbe tenuto, in caso di prolungata impossibilità di accesso ai dati conservati negli archivi comunali, a: a) trasmettere
alle pubbliche amministrazioni che ne fanno richiesta gli estratti e i certificati che concernono lo stato civile, b) rilasciare gli estratti e i certificati che concernono lo stato civile; c) verificare, per le pubbliche amministrazioni che ne facciano richiesta, la veridicità dei dati contenuti nelle autocertificazioni prodotte dai cittadini in tutti i casi consenti dalla legge.
Sono note le preoccupazioni che questa Autorità ha avuto modo più volte di evidenziare allorché si prevedano forti concentrazioni di dati, soprattutto quando questi riguardino profili particolarmente delicati relativi alla vita privata delle persone o permettano, anche attraverso ampi collegamenti tra diversi tipi di informazioni, di utilizzare i dati anche per finalità diverse da quelle connesse al disaster recovery e che dovrebbero essere previste, semmai, da una norma più specifica (e con
garanzie più adeguate) rispetto a quella che è alla base dello schema in esame.
Nel caso specifico, si comprende l’utilità di assicurare l’integrità dei dati ivi conservati e la necessaria continuità dei servizi di stato civile al verificarsi degli eventi eccezionali sopra ricordati. Appare tuttavia necessario che tali finalità dell’archivio nazionale vengano meglio evidenziate e che si prevedano
maggiori garanzie contro eventuali utilizzi dello stesso che possano discostarsi dallo spirito della norma.
Pur ritenendo praticabile la soluzione prospettata dal Ministero dell’interno, favorevole a una
concentrazione dei dati presso un’unica sede, in modo da poter meglio garantire l’adozione di elevati standard di sicurezza, si ritiene quindi fortemente auspicabile una gestione informatica separata,
per ciascun comune, dei dati relativi agli atti dello stato civile.
In particolare, occorrerebbe mantenere una ferma distinzione logica fra diversi supporti relativi ai singoli comuni, permettendo così un’agevole ricostruzione o utilizzazione degli atti dello stato ci-
27
Garante per la protezione dei dati personali
vile eventualmente andati dispersi o distrutti, o temporaneamente inutilizzabili, a livello locale, ma
evitando al tempo stesso che la finalità di disaster recovery porti ad introdurre, in maniera surrettizia,
un archivio unico utilizzabile anche per ulteriori finalità, estranee a quelle ufficialmente indicate.
Detta soluzione pare del tutto idonea a garantire la conservazione di tali supporti perché essi possano essere consultati per le finalità previste dallo schema, assicurando contestualmente il massimo livello di sicurezza e la riduzione dei rischi intrinsecamente connessi alla costituzione di banche dati
di tale tipo e dimensione.
A tale fine si propone, pertanto, di modificare l’art. 10, comma 2, lett. d) come segue:
“d) istituzione di un centro nazionale di raccolta dei supporti informatici contenenti tutti i dati
registrati negli atti dello stato civile per assicurarne la conservazione in presenza di eventi dannosi o
calamitosi; tale centro è tenuto a svolgere i compiti di cui alle lettere b), c) e d) dell’articolo 5, comma 1, in caso di prolungata impossibilità di accesso ai dati conservati negli uffici comunali; i dati sono conservati separatamente per ciascun comune, secondo modalità tali che ne rendano possibile la
consultazione su base comunale e per le sole finalità indicate nella presente lettera da parte degli ufficiali dello stato civile;”.
Auspicando la modifica dell’art. 10, il Garante manifesta anche ampie perplessità circa l’eventuale modifica del testo in senso opposto a quello qui indicato e, in particolare, al recepimento del
suggerimento proposto dalla Conferenza Stato-Città, teso a prevedere forme di interconnessione tra
“l’archivio nazionale e le basi di dati in materia di anagrafi”.
Il Garante, nel restare a disposizione per ogni ulteriore chiarimento, richiama infine l’attenzione per future richieste, sulla recente modifica normativa con la quale si è previsto che le richieste di
pareri alle autorità amministrative indipendenti e al Consiglio di Stato competano agli organi di governo (art. 3, comma 1, lett. f) del d. lg. n. 29/1993, così come sostituito dall’art. 3 del d. lg. 31 marzo 1998, n. 80).
IL PRESIDENTE
28
Garante per la protezione dei dati personali
Il Garante, adempiendo alle disposizioni di cui all’art. 31, comma 2 della legge n.
675/1996, sottolinea ancora una volta l’importanza della disposizione di cui all’art. 9 della
stessa legge, concernenti le modalità di raccolta e i requisiti dei dati personali.
Roma, 2 agosto 1999
Ministero delle finanze
Ufficio del coordinamento legislativo
00144 Roma - EUR
OGGETTO: schema di decreto ministeriale in materia di accesso dei concessionari della riscossione agli uffici pubblici ed ai sistemi informativi degli enti creditori (art. 18, comma 3, d.lg. 112/1999). Richiesta di parere ai sensi dell’art. 31, comma 2, della legge n. 675/1996.
In attuazione delle disposizioni contenute nell’articolo 18, comma 3, del d.lg. n. 112/1999, concernente il riordino del servizio nazionale della riscossione, è stato trasmesso a questa Autorità lo
schema di decreto ministeriale per il previsto parere ai sensi dell’art. 31, comma 2, della legge n.
675/1996.
Al riguardo, occorre preliminarmente far presente che la Direzione centrale della riscossione del
Dipartimento delle entrate, aveva qui trasmesso uno schema di decreto, concernente la materia in oggetto, in relazione al quale il Garante ha esposto le proprie considerazioni.
Ora, in relazione allo schema di decreto in esame, non si hanno particolari osservazioni da formulare potendosi fare riferimento alle considerazioni già esposte nel suddetto parere del 16 giugno
1999.
Si ritiene tuttavia necessario far rilevare alcuni aspetti che hanno riflessi più immediati nella
materia del trattamento dei dati personali.
All’art. 1, comma 1, si deve segnalare che la previsione relativa a “..esclusivo riferimento alle notizie indispensabili per lo svolgimento dell’attività di riscossione..” è generica ed è quindi necessario
specificare meglio i tipi di dati relativi ai debitori iscritti a ruolo e ai coobbligati a cui si intende far accedere il concessionario, nel rispetto dei princìpi di pertinenza e non eccedenza dei dati sanciti dall’art. 9, comma 1, lett. d) della legge n. 675/1996. A tal fine potrebbe farsi riferimento ad un allegato
elenco, che dovrebbe fare parte integrante del decreto medesimo, in cui siano indicati i tipi di dati che
i concessionari avrebbero la facoltà di conoscere per lo svolgimento dell’attività di riscossione.
L’articolo 18, comma 3, del d.lg. n. 112/1999 prevede espressamente che il decreto in esame indichi anche “..le cautele a tutela della riservatezza dei debitori.”
Si ritiene pertanto necessario introdurre puntuali indicazioni in ordine alle finalità e ai limiti
dell’utilizzazione delle informazioni personali da parte dei concessionari della riscossione, con particolare riguardo all’individuazione di appropriate misure relative alla sicurezza dei dati (art. 15, legge n. 675/1996).
Queste indicazioni dovrebbero specificare che i trattamenti effettuati dai concessionari possono
riguardare le finalità e i dati strettamente collegati all’espletamento delle procedure esecutive, secondo modalità connesse a tale scopo e con un generale divieto di divulgazione dei dati fuori dei casi espressamente previsti. Appare altresì opportuno inserire un riferimento all’adozione di misure di
sicurezza in relazione ai sistemi di connessione telematica che verranno realizzati.
Nella nota di trasmissione del ——-, codesto Ufficio evidenzia che il decreto in esame si occupa dell’attuazione dell’art. 18, comma 3, del d.lg. n. 112/1999, limitatamente alle ipotesi di accesso
presso gli uffici di codesta Amministrazione, rinviando la completa attuazione della norma primaria,
che riguarda i rapporti con soggetti terzi estranei all’amministrazione finanziaria, ad un apposito regolamento governativo, da emanare ai sensi dell’art. 17, comma 1, della legge n. 400/1988.
29
Garante per la protezione dei dati personali
Si rileva invece che, contrariamente a quanto affermato nella suddetta nota, l’art. 2 dello schema disciplina espressamente le modalità di accesso dei concessionari agli uffici pubblici.
All’art. 3 dello schema, infine, è previsto che il concessionario, ai fini dell’accesso alle informazioni disponibili presso il sistema informativo di codesto Ministero, avanzi una richiesta effettuata in conformità alle specifiche tecniche allegate al decreto medesimo, contenente, a pena di improcedibilità, l’indicazione del numero identificativo del ruolo.
Al riguardo, al fine di consentire a questa Autorità di formulare compiutamente il proprio parere ai sensi dell’art. 31, comma 2, della legge n. 675/1996, si ritiene necessario acquisire tali specifiche tecniche cui si fa cenno, che non risultano allegate allo schema in esame.
IL PRESIDENTE
30
Garante per la protezione dei dati personali
Il decreto legislativo 11 maggio 1999 n. 135, ha inserito nell’art. 22 della legge n. 675
il nuovo comma 3-bis in base al quale, qualora sia già specificata la finalità di rilevante interesse pubblico perseguita da un soggetto pubblico, ma non siano precisati i tipi di dati e le operazioni eseguibili, il medesimo soggetto dovrà identificare e rendere pubblici, secondo i propri
ordinamenti, tali categorie di dati e di operazioni, nella misura strettamente pertinente e necessaria in relazione alle finalità perseguite nei singoli casi.
Roma, 10 settembre 1999
Presidenza del Consiglio dei Ministri
Dipartimento per il coordinamento amm.
Commissione per la ricostruzione delle vicende che hanno caratterizzato in Italia
le attività di acquisizione dei beni dei cittadini ebraici da parte di organismi pubblici e privati
OGGETTP: richiesta di parere in ordine all’applicazione della legge n. 675/1996
Con nota del .. ….. … codesta Commissione ha richiesto un parere in ordine alle modalità di
trattamento dei dati personali necessari alla stessa per la ricostruzione delle vicende che hanno caratterizzato in Italia l’acquisizione dei beni di cittadini ebraici da parte di organismi pubblici e privati.
Al riguardo si precisa quanto segue:
– l’attività della Commissione comporta naturalmente il trattamento di dati personali dei soggetti interessati, anche di natura sensibile (in quanto idonei a rivelare, ad esempio, l’origine razziale);
– il trattamento dei dati personali “comuni” rientra nello svolgimento delle funzioni istituzionali di codesta Commissione, secondo quanto stabilito dall’art. 27, comma 1, della legge n. 675;
– per quanto attiene, invece, al trattamento dei dati sensibili, occorre fare riferimento al quadro
normativo delineato dal decreto legislativo 11 maggio 1999 n. 135. Tale recente provvedimento ha inserito nell’art. 22 della legge n. 675 il nuovo comma 3-bis in base al quale, qualora sia già specificata la finalità di rilevante interesse pubblico perseguita da un soggetto pubblico, ma non siano precisati i tipi di dati e le operazioni eseguibili, il medesimo soggetto dovrà appunto identificare e rendere pubblici, secondo i propri ordinamenti, tali categorie di dati e di operazioni, nella misura strettamente pertinente e necessaria in relazione alle finalità perseguite nei singoli casi;
– nel caso di specie, tale ricognizione dovrebbe essere effettuata con un atto di natura regolamentare, atteso che la rilevante finalità di interesse pubblico dei trattamenti in questione è già stata
individuata con una fonte primaria (vedi l’art. 13, comma 2, lettera c), del citato decreto legislativo
n. 135). È sufficiente però che la Presidenza del Consiglio avvii entro il 31 dicembre 1999 (ai sensi
dell’art. 5, comma 4, del decreto legislativo n. 135) tale operazione ricognitiva, anche nell’ambito di
un eventuale atto regolamentare di più ampia portata che interessi anche altre attività istituzionali curate dalla Presidenza, senza necessità, cioè, di redigere un apposito regolamento solo per le attività di
codesta Commissione;
– nelle more della redazione di tali norme, le operazione di trattamento svolte dalla Commissione, concernenti dati sia comuni che sensibili, potranno lecitamente proseguire;
– si sottolinea poi che, trattandosi di trattamenti svolti da un soggetto pubblico, non occorre acquisire il consenso degli interessati, mentre, in sede di acquisizione dei dati, sarà necessario fornire
agli stessi un’informativa, anche sintetica, tenendo altresì presente, nel caso di dati non raccolti presso l’interessato, le specifiche ipotesi di esenzione dall’informativa di cui all’art. 10, comma 4, della
legge n. 675;
– anche per quest’ultimo aspetto, l’Ufficio del Garante è a disposizione per fornire ogni utile indicazione.
IL PRESIDENTE
31
Registro dei trattamenti
REGISTRO DEI TRATTAMENTI
— In generale
Consultando il “registro generale dei trattamenti” di cui all’articolo 31, comma 1, lett. a),
della legge n. 675/1996, istituito dal Garante, l’interessato può apprendere l’esistenza di trattamenti che possono riguardarlo anche per poter esercitare meglio i diritti menzionati all’articolo 13 nei confronti del “titolare” del trattamento.
Roma li, 16/6/99
OGGETTO : Segnalazione su modello di Informativa e Consenso
La S.V. ha segnalato a codesta Autorità un modello di informativa e consenso sottopostoLe dalla in occasione dell’istruttoria di una pratica di finanziamento, chiedendo se esso risponda ai requisiti prescritti dalla legge n. 675/1996.
Il Garante ha constatato che il modello non è conforme a quanto previsto dagli artt. 10, 11, 12
e 20 della legge n. 675, in modo particolare per quanto riguarda la subordinazione del finanziamento alla manifestazione di un consenso assai ampio, riferito anche ad attività estranee al rapporto.
Il Garante ha perciò ritenuto fondata la Sua segnalazione e ha adottato il presente provvedimento
con il quale invita la Società a riformulare il modello sulla base delle seguenti indicazioni:
a) le finalità del trattamento (punti a) e b) del modello) devono essere distinte e meglio specificate a seconda della natura facoltativa o, invece, obbligatoria del conferimento dei dati, in modo da
permettere agli interessati di esercitare liberamente e consapevolmente le possibili opzioni in ordine
all’ampiezza del consenso.
In particolare è necessario distinguere tra i trattamenti strettamente necessari per la gestione
delle operazioni e dei servizi richiesti dal cliente e le eventuali ulteriori utilizzazioni dei dati per finalità (in particolare ”statistiche, commerciali, di marketing e promozionali”) non strettamente collegate alle medesime operazioni e servizi per le quali deve essere garantita l’assoluta libertà di esprimere il consenso.
Nessuna conseguenza negativa riguardo alla concessione del finanziamento può essere infatti
tratta dalla mancata prestazione del consenso per questa seconda categoria di finalità;
b) con riferimento poi all’ambito di comunicazione dei dati (punto d) del modello) si evidenzia,
parimenti, la necessità di distinguere tra le comunicazioni a terzi strettamente necessarie ai fini del
servizio richiesto e le altre operazioni di comunicazione. Attualmente, invece, vengono elencate categorie di soggetti che effettuano trattamenti non necessari rispetto alla gestione del servizio richiesto
e/o offerto (ad es. per …finalità di ricerche di mercato e di marketing) o citati in termini estremamente
generici (…gestione dei sistemi informativi, assicurative…). Eccessivamente ampie e per finalità che
nulla hanno a che vedere con il servizio richiesto risultano poi le modalità di comunicazione, anche
a “catena”, per le quali è necessario richiedere un consenso libero e più specifico che permetta all’interessato di comprendere se il consenso è prestato solo nei confronti della Società o, invece, anche di altri soggetti. Del tutto carente è, infine, l’indicazione dei soggetti che operano per conto di detta società quali responsabili del trattamento;
c) riguardo all’ultima parte del modello, va chiarito che consultando il “registro generale dei
trattamenti” di cui all’articolo 31, comma 1, lett. a), della legge n. 675/1996, istituito dal Garante,
l’interessato può apprendere l’esistenza di trattamenti che possono riguardarlo anche per poter esercitare meglio i diritti menzionati all’articolo 13 nei confronti del “titolare” del trattamento (che nel
caso di specie è la stessa Società).
Il modello in esame, invece, ingenera l’erronea convinzione che il diritto di accesso si eserciti
solo rispetto al predetto registro, mentre è in realtà azionabile direttamente nei confronti della società
e di ogni altro soggetto “titolare” del trattamento.
32
Registro dei trattamenti
Nel trasmettere alla società in indirizzo copia di alcuni provvedimenti contenenti indicazioni sui
principi di cui all’art. 10 della legge, il Garante invita la società ai sensi degli artt. 31, comma 1, lett.
c) e 32 legge n. 675/1996, a riformulare il modello entro il 15 luglio p.v., trasmettendo copia alla scrivente Autorità del modello stesso (o di quello eventualmente già riformulato di Vs. iniziativa) prima
della sua utilizzazione.
Si invita altresì la Vs. società a fornire assicurazioni entro la medesima data che:
a) nelle more della predisposizione del nuovo modello non saranno tratte conseguenze sfavorevoli per gli interessati, incluso il Sig. …, in caso di mancata prestazione del consenso sulla base del
precedente modello;
b) i dati raccolti sulla base del modello in esame non saranno utilizzati per le finalità non strettamente collegate ai servizi e alle operazioni di finanziamento.
IL PRESIDENTE
33
Ricorsi
RICORSI
— Decisioni del Garante
— Accoglimento
Già in precedenti pronunce il Garante ha riconosciuto la natura di dato personale alla
diagnosi medica, pur essendo evidente che, per sua natura, essa non è caratterizzata da assoluta oggettività e comprende a volte elementi valutativi o di prognosi di tipo discrezionale. Ciò
implica il diritto dell’interessato, più volte riconosciuto da questa Autorità, di aver accesso alle diagnosi mediche che lo riguardano
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
In data odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli componenti e del dott. Giovanni Buttarelli, segretario generale;
esaminati i tre ricorsi presentati rispettivamente dai Sigg. ….. …… ……. …..;
nei confronti di
un titolare del trattamento
considerato che i tre ricorsi fanno riferimento all’esercizio dei diritti dell’art. 13 della legge n.
675/1996 in riferimento ad una medesima fattispecie e che possono essere perciò esaminati congiuntamente anche in considerazione dell’identità delle argomentazioni addotte a loro sostegno;
VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi
dell’art. 7, comma 2, lettera a) del d.P.R. 31 marzo 1998, n. 501;
VISTA la documentazione in atti;
RELATORE il Prof. Ugo De Siervo;
PREMESSO:
1. I ricorrenti, dipendenti del titolare, lamentano di aver ricevuto un riscontro parziale alle richieste di accesso ai propri dati personali avanzate ai sensi dell’art. 13 della legge n. 675 nei confronti del titolare in qualità di datore di lavoro.
Più specificamente ai medesimi dipendenti non sarebbero state comunicate le argomentazioni
e le valutazioni che sostanziano il giudizio annuale espresso sinteticamente nei loro confronti (ottimo,
buono, mediocre, insufficiente, ecc.), il solo che venga reso noto ogni anno a ciascun dipendente.
In effetti, anche in risposta all’invito ad aderire spontaneamente alle richieste dei ricorrenti, ha
risposto (nota pervenuta via fax il 29/4/1999) asserendo che l’ambito di applicazione della legge n.
675 concerne i “dati personali, cioè le informazioni relative alla persona e non già le valutazioni”. Il
titolare ha fatto presente che il contratto di lavoro dei dipendenti dello specifico settore d’interesse
prevede l’obbligo di fornire una motivazione sintetica nel solo caso in cui al dipendente venga attribuita la qualifica di “insufficiente”, e che la notifica della motivazione può essere altresì richiesta dal
dipendente cui sia stata attribuita una qualifica inferiore a quella dell’anno precedente; ha inoltre evidenziato che nei confronti dei giudizi sintetici è sempre possibile, però, esperire un ricorso interno in
doppio grado e adire poi l’autorità giudiziaria.
A giudizio del titolare, l’attribuzione delle note di qualifica presuppone “un procedimento valutativo, con risvolti contenziosi, le cui motivazioni sono conservate dall’istituto, cui in realtà appartengono”; né rileverebbe affermare che “i giudizi possono basarsi su resoconti, asseritamente inveri-
34
Ricorsi
tieri, trattandosi se mai di giudizi in itinere, a livello inferiore, o intermedio, quindi non di dati, e non
rientrando la loro formulazione in nessuna nozione di trattamento”.
Dal canto loro, i ricorrenti hanno sottolineato che il titolare non ha mai negato l’esistenza del
tipo di dati da essi richiesti, ed ha solo opposto che tali giudizi sarebbero caratterizzati “da una presunta speciale riservatezza tale da impedirne la comunicazione all’interessato”. I medesimi ricorrenti hanno inoltre posto in luce (fax pervenuto il 4/5/1999) come il concetto di dato personale di
cui all’art. 1 della legge n. 675 debba estendersi “a qualsiasi informazione richiesta ed ottenuta dal
vertice aziendale sul conto di ogni lavoratore subordinato”. Una conoscenza integrale di tali dati
da parte dei dipendenti sarebbe quindi, a giudizio dei ricorrenti, una condizione necessaria per evitare che la banca possa “mantenere o rinnovare … per il futuro giudizi negativi ingiusti e discriminatori”.
Le posizioni espresse dalle parti sono state ribadite nel corso dell’audizione svoltasi il …. .
In tale occasione i ricorrenti hanno nuovamente contestato la tesi sostenuta dal titolare del trattamento rispetto ai dati in questione. A loro giudizio, le note di qualifica sarebbero senza dubbio informazioni di carattere personale, “in quanto questi dati concorrono a fornire una rappresentazione di
aspetti personali degli interessati”. Fra di essi figurano, peraltro, sia valutazioni soggettive, sia rilievi oggettivi come ad esempio il riferimento a fatti o ad avvenimenti verificatisi sul luogo di lavoro.
Inoltre, i “motivi” o le “valutazioni” su cui si controverte corrisponderebbero “alla percezione diretta, più o meno circostanziata nei dettagli, che i titolari degli uffici hanno del comportamento dei propri subalterni. Se così non fosse la valutazione dell’istituto di credito non poggerebbe su nulla che
possa essere riferito alla realtà storica del rapporto di lavoro”.
Il titolare del trattamento ha ribadito invece che esistono non tanto informazioni, quanto “giudizi che l’azienda è tenuta ad esprimere e comunicare anche in vista del successivo procedimento
contenzioso”; non sarebbe quindi possibile fare “il processo alle valutazioni, delle quali l’azienda risponde ove vengano impugnate e nelle sedi competenti, come da giurisprudenza costante”.
In occasione della citata audizione le parti hanno peraltro espresso il loro assenso, così come
previsto dall’art. 20, comma 8, del d.P.R. n. 501/1998, ai fini di una proroga fino a venti giorni del
termine per la decisione sul ricorso, riservandosi di produrre ulteriori memorie e documenti.
I ricorrenti hanno poi inviato al Garante una serie di documenti relativi ad una causa di lavoro
che aveva interessato una dipendente del titolare. La motivazione comunicata a tale dipendente per
l’anno solare di riferimento poggiava su un evento circostanziato e storicamente determinato, e ciò
smentirebbe la tesi della controparte “secondo cui anche le cosiddette motivazioni supportanti la nota
di qualifica consisterebbero in ogni caso di mere generiche valutazioni non passibili di riscontro oggettivo”.
A parere dei medesimi ricorrenti, le motivazioni poste a base del giudizio sintetico, quand’anche fossero formulate in modo “soggettivo, generico e privo di riferimenti obiettivi”, avrebbero comunque natura di dato personale e come tali potrebbero essere oggetto di una richiesta di accesso ai
sensi dell’art. 13 della legge n. 675.
In senso opposto, il titolare del trattamento ha ulteriormente evidenziato, citando a supporto della propria tesi alcune massime giurisprudenziali, come gli odierni ricorsi mirino in realtà a conoscere e sindacare i motivi dei giudizi formulati sui dipendenti, mentre “le motivazioni dei giudizi possono essere chieste, e in determinati casi devono direttamente essere fornite dall’azienda, nell’apposito
procedimento previsto dal contratto collettivo”. Il titolare ha altresì evidenziato che la compilazione
delle note caratteristiche non costituisce di per sé “informazione relativa alla persona e quindi dato o
complesso di dati … e tanto meno loro trattamento … suscettibile di intervento protettivo del Garante
e oggetto di un diritto di comunicazione dell’interessato, o magari di rettificazione a istanza dello stesso, se non, rispettivamente, nei termini delle già ricordate disposizioni dello stesso contratto collettivo o
a seguito di impugnativa ed eventuale annullamento giudiziale”. Viene infine rimarcato, ancora una
volta, che l’azienda “non può essere obbligata anche a rivelare i giudizi intermedi o in itinere, i cui
compilatori o revisori non operano in contraddittorio dell’interessato”.
Nel corso della seconda audizione, tenutasi il …., le parti hanno ribadito le proprie posizioni. I
ricorrenti hanno fatto poi notare che la giurisprudenza citata dal titolare “è concorde nel rilevare che
la nota di qualifica può essere soggetta al sindacato di legittimità. Se ne deve dedurre che essa deve
fondarsi su elementi abbastanza obiettivi” e non solo su “valutazioni meramente soggettive”.
35
Ricorsi
Il titolare ha infine fornito copia di una sentenza del pretore di …. relativa alla vicenda della dipendente del titolare al quale si sono riferiti i ricorrenti. Per ribadire le proprie tesi, ha poi prodotto
un modello per la compilazione della scheda di valutazione “da cui emerge che vi devono essere riportati solo dati notori e per altro verso messi a disposizione dagli interessati, relativi alla semplice identificazione degli stessi. Inoltre vi sono dei punteggi, proposti dai capi servizio, in base ai quali viene comunque discrezionalmente formulato dal direttore generale il giudizio poi comunicato all’interessato”.
È stato altresì precisato che “non possono considerarsi dati personali tutti i dati o i documenti aziendali solo perché in qualche modo riferibili ad uno o più dipendenti, nel qual caso tutti dovrebbero essere oggetto di comunicazione”. Secondo la Cassa, dovrebbe essere da ultimo considerato che i giudizi
in questione non vengono formulati in contraddittorio con il soggetto interessato e che la loro segretezza è condizione indispensabile per assicurare la libertà di giudizio dei relativi estensori.
CIÒ PREMESSO, IL GARANTE OSSERVA:
2. I ricorsi presentati, di contenuto pressochè identico, sono ammissibili ai sensi dell’art. 29 della legge n. 675/1996 e sono fondati.
Quanto alla ventilata obiezione del titolare., che ha accennato al fatto che i ricorsi siano stati
reiterati prima della decorrenza del termine di 90 giorni di cui all’art. 13, comma 1, lett. c), n. 1 della legge n. 675, si deve osservare che, in realtà, la richiesta dei ricorrenti di conoscere le valutazioni
che li riguardano era stata formulata già nella richiesta di accesso ai dati personali del 22 gennaio
1999, che è risultata in parte inevasa, sicché il limite normativo attinente alla reiterazione delle richieste di accesso non può considerarsi preclusivo, nella fattispecie, dei diritti dei ricorrenti.
Apparendo pacifiche l’esistenza e l’utilizzazione dei dati di cui si controverte, nonché la ritualità delle istanze di accesso, il tema centrale della controversia risiede nella natura giuridica delle note di qualifica agli effetti dell’applicazione della legge n. 675/1996.
Per valutare la fondatezza della richiesta di accesso ai dati personali avanzata dai ricorrenti, occorre prendere le mosse dalla nozione di “dato personale” che la legge n. 675/1996 ha derivato dalla direttiva comunitaria n. 95/46/CE e dalla Convenzione n. 108/1981 del Consiglio d’Europa ratificata con legge n. 98/1989.
L’art. 1, comma 2, lettera c), della legge n. 675 definisce come dato personale “qualunque informazione relativa a persona fisica, persona giuridica, ente o associazione, identificati o identificabili,
anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di
identificazione personale”.
L’espressione “qualunque informazione” vuole evidentemente attribuire alla definizione di “dato personale” la massima ampiezza, comprendendo anche ogni notizia, informazione o elemento che
abbia un’efficacia informativa tale da fornire un contributo aggiuntivo di conoscenza rispetto ad un
soggetto identificato o identificabile. E ciò in riferimento sia ad informazioni oggettivamente caratterizzate (suscettibili di una verifica e di un sindacato obiettivo), sia a descrizioni, giudizi, analisi o ricostruzioni di profili personali (riguardanti attitudini, qualità, requisiti o comportamenti professionali) che danno origine a stime e opinioni di natura soggettiva finalizzate anche ad una valutazione complessiva del soggetto interessato. Questo è orientamento comune nei diversi paesi dell’Unione europea, che in via generale considerano le valutazioni appunto come dati personali.
Conferme in questo senso possono essere tratte da significative disposizioni contenute in documenti internazionali e da sentenze della Corte di Cassazione. In precedenti provvedimenti il Garante
ha già avuto modo di esprimersi in questo senso.
L’art. 9 della Convenzione di applicazione dell’Accordo di Schengen, ratificata con legge n.
388/1993, dispone che fra i dati trattabili nell’ambito del Sistema d’Informazione Schengen vi siano
non solo quelli obiettivi (cognome, nome, data e luogo di nascita, ecc.), ma anche quelli relativi alla
“linea di condotta da seguire”, definita evidentemente in base ad un giudizio contenente elementi di
valutazione. Ugualmente, l’art. 8 della Convenzione Europol, ratificata con legge n. 93/1998, contempla fra i dati oggetto di trattamento elementi sicuramente valutativi, quali i dati di persone che “si
può presumere … che commetteranno reati per i quali l’EUROPOL è competente”. Inoltre, l’art. 1
del regolamento CE n. 1469/95 parla di trattamento di dati riguardanti “operatori che presentano un
36
Ricorsi
rischio di inaffidabilità”, in quanto condannati per una frode comunitaria ai danni del FEAOG-garanzia o sospettati in base ad un primo accertamento.
Il rapporto diretto tra valutazioni ed elementi obiettivi nelle note di qualifica è esplicitamente
sottolineato in diverse sentenze della Corte di Cassazione (Sez. lavoro n. 2252 del 27.2.95 e n. 884
del 1.2.96).
Si possono poi ricordare alcune decisioni del Garante, come quella del 21/12/1998 (pubblicata
nel bollettino del Garante, “Cittadini e società dell’informazione”, n. 7, pag. 35), che ha riconosciuto
la natura di dato personale alla diagnosi medica, pur essendo evidente che, per sua natura, essa non è
caratterizzata da assoluta oggettività e comprende a volte elementi valutativi o di prognosi di tipo discrezionale. Ciò implica il diritto dell’interessato, più volte riconosciuto da questa Autorità, di aver accesso alle diagnosi mediche che lo riguardano. Inoltre, nel parere del 16 febbraio 1999 (Bollettino n.
7, pag. 10) sono state fornite indicazioni sul significato di una particolare categoria di dati personali (i
dati “relativi allo svolgimento di attività economiche” di cui all’art. 20, comma 1, lettera e) della legge n. 675) sottolineandosi come la citata disposizione normativa faccia riferimento non solo a dati oggettivi rinvenibili in documenti pubblici, ma anche a giudizi ed indicazioni su attività finanziarie, produttive, ecc. che sono il risultato, da una parte, di aggregazioni ed elaborazioni di dati acquisiti da fonti pubbliche e, dall’altra, di valutazioni (caratterizzate da ampia discrezionalità e soggettività) relative
all’affidabilità, alla solvibilità e alla capacità economica di determinati soggetti economici.
Questo orientamento del Garante corrisponde alla linea assunta da altre autorità europee, quale risulta, ad esempio, dalla deliberazione n° 80-10 del 1.4.1980 della Commission Nationale de
l’Informatique et des Libertés francese.
Il citato rapporto delle note di qualifica con i profili comportamentali del lavoratore rimanda
quindi al riferimento, sottostante alle note stesse, a fatti, atteggiamenti, situazioni determinate e storicamente definite, non affidate a giudizi puramente astratti ed avulsi dal riferimento alla concreta attività contrattuale svolta dal dipendente.
Inoltre risulterebbe privo di ragionevolezza considerare come dato personale il giudizio “ottimo”, “buono”, ecc., consentendo così pienezza di accesso ad una valutazione “allo stato puro” e negarlo, invece, ai dati ben più analitici e spesso obiettivi sui quali si forma il giudizio stesso. Ciò a prescindere dal fatto che solo conoscendo tali elementi di base il lavoratore può valutare la congruità del
giudizio sintetico emesso nei suoi confronti e far valere i propri diritti secondo la normativa di riferimento. Ciò salvo espliciti limiti legislativi che riducano questa conoscibilità in particolari ordinamenti.
L’accesso dell’interessato alle valutazioni richiede tuttavia alcune precisazioni sui diritti esercitabili dall’interessato stesso. Tra gli elementi che concorrono alla formazione del giudizio ve ne sono alcuni che hanno carattere obiettivo (ad esempio numero delle pratiche svolte, giorni di assenza),
rispetto ai quali può certamente essere esercitato il diritto di correzione. Tale diritto non può, invece,
essere attivato nei confronti delle considerazioni di tipo soggettivo e discrezionale pure presenti nei
“giudizi” e nelle “valutazioni”, legittimamente espressi nel quadro del rapporto di lavoro o di altre
simili situazioni.
Rispetto a tali profili potrà essere, invece, attivato dall’interessato, qualora vi abbia interesse, il
diverso diritto di integrazione dei dati, che potrà eventualmente concretizzarsi nell’apposizione di note o precisazioni marginali (art. 13, comma 1 lettera c) n. 3).
L’esercizio del diritto di accesso, ad ogni modo, è subordinato al completamento della procedura di valutazione, e quindi non può essere fatto valere nelle fasi di preparazione delle note di qualifica o delle schede di valutazione. Qualora ciò sia possibile, il datore di lavoro potrà prevedere misure
idonee a tutelare la riservatezza dell’autore delle valutazioni.
In questo quadro, la richiesta di accesso ai dati personali avanzata dai tre ricorrenti ai sensi dell’art. 13 della legge n. 675, e mirante ad ottenere la comunicazione in forma intelligibile dei dati posseduti dal titolare del trattamento, ivi compresi i giudizi, le valutazioni e comunque gli altri elementi posti a base del giudizio sintetico espresso in sede di note di qualifica annuali, deve considerarsi
legittima e meritevole di accoglimento. Pertanto la natura di dati personali deve essere riconosciuta,
nell’odierno provvedimento, ai giudizi contenuti nell’apposita “scheda di valutazione degli impiegati, subalterni ed ausiliari” (il cui modello è acquisito agli atti del procedimento) e in altri, eventuali
documenti analoghi o ad essa riferibili.
37
Ricorsi
PER QUESTI MOTIVI:
il Garante accoglie il ricorso e per l’effetto ordina al titolare del trattamento di corrispondere,
entro il 30 giugno 1999, alla richiesta di accesso ai dati personali contenuti nella “scheda di valutazione degli impiegati, subalterni ed ausiliari”, dando conferma di tale adempimento entro la stessa
data anche all’Ufficio del Garante.
Roma, lì 2 giugno 1999
IL PRESIDENTE
F.to Rodotà
IL RELATORE
F.to De Siervo
IL SEGRETARIO GENERALE
F.to Buttarelli
38
Ricorsi
— Inammissibilità
Il Garante dopo aver dichiarato inammissibile il ricorso, avvalendosi dell’autonomo potere conferitogli dalla legge n. 675/1996, instaura un distinto procedimento, per la valutazione di quanto prospettato dai ricorrenti, anche in relazione a quanto previsto dall’art. 31, comma 1, lett. d), della legge n. 675, e pertanto invita il Comune a far pervenire ogni utile elemento di valutazione in ordine al trattamento di dati personali connesso alla distribuzione del
questionario rivolto “agli utenti degli asili nido”.
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe
Santaniello, vice presidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli componenti e del
dott. Giovanni Buttarelli, segretario generale;
esaminato il ricorso presentato dai ricorrenti
nei confronti di
Comune di
VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi dell’art. 7, comma
2, lettera a) del d.P.R. 31 marzo 1998 n. 501;
RELATORE il Prof. Ugo De Siervo;
VISTA la documentazione in atti;
PREMESSO:
I ricorrenti lamentano che la Divisione servizi educativi del Comune di ….. avrebbe distribuito, agli utenti degli asili nido della città, un questionario con il quale i destinatari sarebbero stati invitati a fornire dettagliate informazioni circa la professione, il reddito, le disponibilità finanziarie e
patrimoniali dei componenti il nucleo familiare.
Tale raccolta di dati si porrebbe in grave contrasto con la legge n. 675/1996, in quanto con il
modulo verrebbero richieste informazioni sulla presenza all’interno del nucleo familiare di persone
handicappate; il consenso degli interessati al trattamento dei dati verrebbe “di fatto estorto” agli stessi e non verrebbero fornite idonee garanzie di sicurezza in riferimento al trattamento stesso. Inoltre, i
dati richiesti sarebbero “non pertinenti ed eccedenti la finalità per la quale sono raccolti”.
Nei confronti dell’iniziativa del Comune di …. i ricorrenti hanno presentato al sindaco e all’assessore competente un’apposita interpellanza che sarebbe rimasta senza esito.
Le segnalate modalità di trattamento determinerebbero, a giudizio dei ricorrenti, una “violazione dei diritti di cui agli articoli 9, 11, 15 e 22 della legge 31/12/1996 n. 675”, legittimando il presente ricorso al Garante, proposto in via d’urgenza ai sensi dell’art. 29 della legge n. 675, vista la scadenza ravvicinata prevista per la consegna agli uffici comunali dei questionari in oggetto.
Con il ricorso si chiede che “il Garante ordini, in via provvisoria, la sospensione delle operazioni di raccolta e trattamento dei dati, indicando i modi per tutelare la sicurezza di quelli già pervenuti all’amministrazione”. Si chiede inoltre che all’esito del procedimento venga ordinato “al titolare e al responsabile convenuti la cessazione del comportamento illegittimo, indicando le misure necessarie a tutela dei diritti degli interessati”.
CIÒ PREMESSO, IL GARANTE OSSERVA:
Il d.P.R. 31/3/1998 n. 501 (pubblicato sulla Gazzetta Ufficiale n. 25 del 1/2/1999) contenente
il regolamento di organizzazione e funzionamento dell’Ufficio del Garante per la protezione dei dati
39
Ricorsi
personali, ha introdotto negli artt. 18, 19 e 20 la disciplina relativa alla forma, alle modalità di presentazione ed al procedimento per l’esame dei ricorsi al Garante previsti dall’art. 29 della legge n.
675/1996.
Tale normativa disciplina, altresì, le ipotesi di inammissibilità dei ricorsi (art. 19, d.P.R. n. 501)
e prevede che gli stessi siano dichiarati inammissibili o manifestamente infondati anche prima che il
ricorso sia comunicato al titolare e al responsabile del trattamento con il connesso invito ad aderire
(art. 20, comma 1, d.P.R. n. 501/1998).
Con deliberazione del 1 marzo 1999, n. 5 (pubblicata sulla Gazzetta Ufficiale n. 65 del 19 marzo 1999), il Garante ha poi individuato ai sensi del citato art. 19 i casi in cui, anche su invito dell’Ufficio, il ricorso inammissibile può essere regolarizzato a cura del ricorrente.
3. Il ricorso è inammissibile.
L’atto in esame non contiene alcun riferimento ai diritti di cui all’art. 13 della legge n. 675/1996
e difetta dei presupposti previsti dall’art. 29 della medesima legge.
Il procedimento previsto dall’art. 29 ha infatti caratteri particolari in quanto con il ricorso che
lo introduce non si può lamentare qualsiasi violazione della normativa in tema di dati personali, come può avvenire invece in caso di segnalazioni e reclami rivolti anch’essi al Garante.
Il ricorso può essere presentato solo per la tutela di una precisa richiesta (ai sensi dell’art. 13)
avanzata precedentemente al titolare o al responsabile del trattamento e da questi disattesa anche in
parte.
Nel caso di specie vengono avanzate alcune censure al trattamento dei dati effettuato dalla Divisione servizi educativi del Comune di …., ma non risulta attivato il particolare meccanismo di tutela previsto dagli artt. 13 e 29 della legge n. 675.
Non può considerarsi in tal senso come una valida forma di esercizio dei diritti dell’art. 13 l’interpellanza del .. ….., rivolta al sindaco e all’assessore competente, nella quale venivano segnalate
“violazioni della privacy”.
Va poi rilevato che i citati diritti di cui all’art. 13 possono essere esercitati solo dagli “interessati”, cioè dalle persone cui si riferiscono i dati personali oggetto di trattamento, mentre nel caso in esame non risulta che i ricorrenti si trovino in tale situazione soggettiva o siano destinatari di
una delega o procura conferita da uno o più interessati ai sensi dell’art. 13, comma 4, della legge
n. 675.
Relativamente al profilo della protezione dei dati personali, la citata legge non prevede che i
diritti degli interessati (di cui sono titolari nella specie i destinatari della richiesta di compilazione
del questionario) possano essere fatti valere, in assenza dei citati meccanismi di delega o rappresentanza, da consiglieri comunali in qualità di “rappresentanti dei cittadini tutti e, in particolare, dei genitori di bambini iscrivendi agli asili comunali”.
Attesa la carenza di legittimazione degli odierni ricorrenti, è pertanto superfluo accertare se sussistano i requisiti previsti dall’art. 29, comma 2 per la proposizione “immediata” del ricorso al Garante.
Tutto ciò considerato, va però ricordato che la legge n. 675 ha previsto, al di fuori dell’ipotesi
del ricorso ex art. 29, la possibilità di accertare le eventuali inosservanze della legge n. 675 anche attraverso autonome determinazioni assunte d’ufficio dal Garante, oltre che per impulso degli interessati, mediante gli strumenti della “segnalazione” e del “reclamo” inviati dagli interessati ai sensi dell’art. 31, comma 1, lettera d), della medesima legge.
PER QUESTI MOTIVI:
a) il Garante dichiara inammissibile il ricorso;
b) avvalendosi dell’autonomo potere conferitogli dalla legge n. 675/1996 instaura un distinto
procedimento, per la valutazione di quanto prospettato dai ricorrenti, anche in relazione a quanto previsto dall’art. 31, comma 1, lett. d), della legge n. 675, e pertanto invita il Comune a far pervenire al
Garante, entro il …., ogni utile elemento di valutazione in ordine al trattamento di dati personali connesso alla distribuzione del questionario rivolto “agli utenti degli asili nido della città di ….”, con
particolare riferimento agli obblighi normativi posti a fondamento dell’iniziativa, all’adempimento de-
40
Ricorsi
gli obblighi di informativa nei confronti dei soggetti interessati, alle modalità di trattamento e conservazione dei dati e alle misure di sicurezza adottate.
Roma, 7 giugno 1999
IL PRESIDENTE
firmato Rodotà
IL RELATORE
firmato De Siervo
IL SEGRETARIO GENERALE
firmato Buttarelli
41
Ricorsi
Il ricorso all’Autorità può essere presentato solo per la tutela di una precisa richiesta,
avanzata precedentemente al titolare o al responsabile del trattamento e da questi disattesa anche in parte. Prima di presentare il ricorso, l’interessato deve quindi formulare le proprie richieste con riferimento ad uno o più dei diritti riconosciuti dall’art. 13 (accesso ai dati, diritto di ottenerne l’aggiornamento o la rettificazione oppure, qualora siano trattati in violazione
della legge, la cancellazione, la trasformazione in forma anonima o il blocco, ecc.), nei confronti del titolare o del responsabile del trattamento, ed attendere almeno cinque giorni dalla
data della loro presentazione.
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, con la partecipazione del prof. Stefano Rodotà, del prof. Giuseppe Santaniello, vice-presidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti;
esaminato il ricorso presentato dal ricorrente, rappresentato e difeso dall’Avv. ... ed elettivamente domiciliato presso lo studio di quest’ultimo in …., nei confronti della A.S.L. n. 6 di …., con
sede in …, via …;
vista la documentazione allegata;
PREMESSO:
1. Il ricorrente, dirigente medico in servizio presso la divisione Ortopedia e traumatologia dell’Ospedale di …. (A.S.L. n.), ha fatto presente di aver richiesto di prestare servizio al di fuori della
sua divisione per “una non facile situazione ambientale”, che avrebbe causato il riacutizzarsi di un
suo stato di malattia, e di essere stato per questo motivo sottoposto ad apposita visita medica.
In seguito a tale visita, un altro dirigente medico della stessa divisione avrebbe poi diffuso pubblicamente, con affissione di note circolari e di comunicazioni di altro tipo nei corridoi del reparto e
delle sale di attesa nonché in altri luoghi dell’ospedale, i dati relativi allo stato di salute del ricorrente, travisando il risultato della predetta visita medica (riportato nella cosiddetta scheda di sorveglianza sanitaria inviata anche alla A.S.L. n. ..) ed attribuendo all’interessato “un non meglio giustificato stato di inidoneità”.
Il ricorrente ha lamentato, quindi:
– l’arbitrarietà e l’illiceità della predetta diffusione di dati idonei a rivelare il suo stato di salute;
– la violazione di diverse disposizioni della legge n. 675/1996 da parte del suddetto dirigente
medico e della A.S.L. n. ;
– la lesione della sua dignità e reputazione sia personale che professionale.
2. Il ricorrente ha fatto presente, inoltre, di aver formulato in data … apposita istanza al Direttore generale dell’A.S.L. n. . “per chiedere la cessazione dell’attività lesiva nei suoi confronti”, rimasta
senza esito in quanto le varie circolari e comunicazioni riferite alla sua persona continuerebbero a rimanere affisse in luoghi aperti al pubblico.
Per tale motivo, decorsi i cinque giorni previsti dall’art. 29, comma 2, della legge n. 675/1996,
ha chiesto, con il ricorso in esame, al Garante di ordinare “la cessazione dei comportamenti che saranno ritenuti illegittimi” e di “denunciare all’autorità giudiziaria i fatti configurabili come reati perseguibili d’ufficio”.
CIÒ PREMESSO, IL GARANTE OSSERVA:
3. In occasione della decisione dei ricorsi presentati anteriormente all’entrata in vigore del regolamento di attuazione dell’art. 29 della legge n. 675/1996, previsto dall’art. 33, comma 3, della medesima legge, questa Autorità ha sempre ritenuto che tali atti possono essere qualificati come “recla-
42
Ricorsi
mi” ai sensi dell’art. 31 della stessa legge, restando ferma la possibilità di dichiarare l’inammissibilità o la manifesta infondatezza degli atti presentati nella predetta fase come formali ricorsi, qualora
gli stessi non presentino i requisiti previsti dagli articoli 13 e 29 della citata legge n. 675.
4. Alla luce delle considerazioni sopra formulate e sulla base della disciplina anteriore al predetto regolamento, il ricorso in esame deve essere dichiarato inammissibile.
Il procedimento previsto dall’art. 29 della legge n. 675/1996 ha infatti caratteri particolari in
quanto con il ricorso che lo introduce non si può lamentare qualsiasi violazione della normativa in tema di dati personali, come può avvenire invece in caso di segnalazioni e reclami rivolti anch’essi al
Garante.
Il ricorso può essere presentato solo per la tutela di una precisa richiesta ai sensi dell’art. 13
della stessa legge, avanzata precedentemente al titolare o al responsabile del trattamento e da questi
disattesa anche in parte.
Prima di presentare il ricorso, l’interessato deve quindi formulare le proprie richieste con riferimento ad uno o più dei diritti riconosciuti dal citato art. 13 (accesso ai dati, diritto di ottenerne l’aggiornamento o la rettificazione oppure, qualora siano trattati in violazione della legge, la cancellazione, la trasformazione in forma anonima o il blocco, ecc.), nei confronti del titolare o del responsabile
del trattamento, ed attendere almeno cinque giorni dalla data della loro presentazione.
La proposizione immediata del ricorso al Garante è invece possibile solo nell’ipotesi in cui il decorso del tempo necessario per interpellare il titolare o il responsabile “esporrebbe taluno a pregiudizio imminente e irreparabile”.
Di questa evenienza non vi è alcun cenno nel ricorso in esame che pure riguarda un caso particolare, ma nel quale l’eventuale grave pregiudizio doveva considerarsi semmai già verificato al momento dell’avvenuta diffusione dei dati relativi alla salute del ricorrente.
In atti figura invece una nota del .. ….. indirizzata al Direttore generale della A.S.L. .. che, però,
non contiene alcun riferimento ai diritti di cui all’art. 13 della legge n. 675/1996, bensì è diretta a segnalare genericamente allo stesso Direttore la violazione dei diritti del ricorrente, realizzatasi attraverso l’affissione al pubblico di notizie idonee a rivelare il suo stato di salute, e a richiedere un intervento per la loro rimozione (già più volte sollecitato presso altri dirigenti dell’A.S.L.) al fine di “evitare una continuazione di reato ma anche per ridurre il danno di immagine per l’Azienda…”.
Dal tenore e dal contenuto dalla predetta nota non può quindi ricavarsi né un chiaro e preciso
riferimento agli specifici diritti attribuiti all’interessato dall’art. 13 della legge n. 675 né, di conseguenza, l’obbligo per il suddetto Direttore di fornire, per conto della Azienda sanitaria titolare del trattamento dei dati, rapido riscontro alla richiesta del ricorrente secondo il procedimento delineato dallo stesso articolo in combinato disposto con il successivo art. 29, comma 2 (ossia entro cinque giorni). Così come formulata, la nota consegnata a mano dall’interessato poteva, semmai, essere considerata come una semplice istanza o reclamo da esaminare secondo le modalità ed i tempi previsti a livello amministrativo per i soggetti pubblici.
L’accertata inammissibilità del ricorso non pregiudica, peraltro, il diritto del ricorrente di esercitare nei confronti dell’Azienda sanitaria titolare del trattamento i diritti di cui all’art. 13 della legge n. 675/1996 (tra cui, appunto, la facoltà di ottenere la cancellazione, la trasformazione in forma
anonima o il blocco dei dati utilizzati in violazione della legge oppure di opporsi, per motivi legittimi,
al loro trattamento), anche sulla base di quanto previsto ora dagli artt. 17 ss. del d.P.R. n. 501/1998
recante il regolamento di organizzazione e funzionamento del Garante (pubblicato sulla Gazzetta Ufficiale, serie generale, n. 25 del 1 febbraio 1999). Né pregiudica il diritto del ricorrente di rivolgersi
all’autorità giudiziaria per far accertare eventuali reati o per chiedere il risarcimento dei danni, anche morali, istanze in merito alle quali la legge n. 675/1996 non ha attribuito competenze a questa
Autorità.
PER QUESTI MOTIVI, IL GARANTE:
a) dichiara inammissibile il ricorso;
b) avvia autonomamente, ai sensi dell’art. 31, comma 1, lett. c), della legge n. 675/1996, sulla
base della documentazione acquisita in occasione dell’esame del presente ricorso, un apposito pro-
43
Ricorsi
cedimento per verificare quanto segnalato dal ricorrente in ordine alla diffusione dei dati idonei a rivelare il suo stato di salute;
c) a tal fine, invita la A.S.L. n. ……:
– ai sensi del citato art. 31, comma 1, lett. l), a sospendere temporaneamente l’eventuale diffusione di dati relativi alla salute dell’interessato, attraverso l’adozione di adeguati accorgimenti come
l’oscuramento degli stessi dati riportati nei documenti affissi in pubblico o la sostituzione dei documenti con altri non contenenti le predette informazioni;
– ai sensi dell’art. 32, comma 1, della stessa legge n. 675, a far pervenire, entro il ….., ogni
informazione e documento utile per una rapida e compiuta valutazione della segnalazione in esame,
dando conferma anche all’interessato del blocco della diffusione dei dati che lo riguardano.
Roma, lì 9 giugno 1999
IL PRESIDENTE
F.to Rodotà
44
Ricorsi
L’accertata inammissibilità del ricorso non pregiudica il diritto del ricorrente di esercitare
nei confronti della società titolare del trattamento i diritti previsti dall’art. 13 della legge
n. 675/1996, nonché di rivolgersi al giudice ordinario per far accertare eventuali reati e per
chiedere il risarcimento dei danni, anche morali, istanze in merito alle quali la legge non ha
attribuito competenze a questa Autorità.
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, con la partecipazione del prof. Stefano Rodotà, del prof. Giuseppe Santaniello, vice-presidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti;
esaminato il ricorso presentato dal ricorrente nei confronti della Società x;
vista la documentazione allegata;
PREMESSO:
1. Il ricorrente ha fatto presente di essere venuto a conoscenza che una terza persona, non legata da alcun vincolo di parentela o conoscenza con lo stesso, avrebbe acquisito telefonicamente da operatori di un determinato ufficio della società dettagliate informazioni circa i voli prenotati dal ricorrente in un determinato periodo (in particolare, destinazione e numero dei voli, date relative alle tratte di andata e di ritorno, codice alfabetico e numerico di ciascun volo, costo dei voli). Tale circostanza sarebbe stata poi confermata dalla stessa persona che avrebbe richiesto le informazioni in un documento sottoscritto da quest’ultima in data ….., prodotto nel procedimento civile di separazione pendente presso il Tribunale di …. tra il ricorrente e la moglie (detto documento viene allegato all’odierno ricorso).
Le predette informazioni acquisite dalla terza persona sarebbero state, infatti, utilizzate in tale
procedimento “come argomento di prova ai fini della decisione sull’affidamento della figlia minore” e
“sulla determinazione dell’assegno alimentare richiesto” dalla moglie del ricorrente.
2. Il ricorrente si è in un primo tempo rivolto, con raccomandata del .. ….. .., a questa Autorità,
esponendo di essere “interessato da richieste di informazioni riguardanti dati personali”, che “risulterebbero effettuate da privati (investigatori o soggetti operanti per conto di organizzazioni di investigazione privata ovvero da soggeti privati senza particolari qualifiche) ai quali, peraltro, il sottoscritto
non ha mai prestato il proprio consenso (anche perché non richiesto)” e richiedendo al Garante “di
adottare ogni iniziativa e misura prevista dalla legge a tutela dei diritti del” ricorrente.
Al riguardo, constatata la genericità dell’istanza presentata dall’interessato (in quanto contenente una richiesta di intervento dell’Autorità, per conoscere le informazioni relative al ricorrente
“raccolte presso banche dati non meglio specificate”), il Garante ha segnalato allo stesso ricorrente la
possibilità di esercitare i diritti di accesso ai dati personali previsti dall’art. 13 direttamente nei confronti dei titolari o dei responsabili del trattamento dei dati, prima di avanzare, dopo cinque giorni
dall’esercizio di tali diritti, un formale ricorso ai sensi dell’art. 29 della legge n. 675/1996.
3. A seguito di tale lettera, il ricorrente avrebbe rivolto, per il tramite di un suo legale, un’apposita istanza (con raccomandate del …. … , allegate al ricorso) sia alla società y sia alla terza persona che avrebbe raccolto le informazioni presso la stessa società, le quali non avrebbero fornito alcuna risposta.
Per questi motivi, l’Avv. … ha presentato l’odierno ricorso, nel quale ha chiesto al Garante di
“adottare nei confronti della società y i provvedimenti idonei alla tutela del diritto del ricorrente circa
l’avvenuto illecito trattamento dei dati personali dello stesso, tra i quali il ritiro o l’inutilizzabilità della dichiarazione della” predetta terza persona.
CIÒ PREMESSO, IL GARANTE OSSERVA:
4. In occasione della decisione dei ricorsi presentati anteriormente all’entrata in vigore del regolamento di attuazione dell’art. 29 della legge n. 675/1996, previsto dall’art. 33, comma 3, della me-
45
Ricorsi
desima legge, questa Autorità ha sempre ritenuto che tali atti possono essere qualificati come “reclami” ai sensi dell’art. 31 della stessa legge, restando ferma la possibilità di dichiarare l’inammissibilità o la manifesta infondatezza degli atti presentati nella predetta fase come formali ricorsi, qualora
gli stessi non presentino i requisiti previsti dagli articoli 13 e 29 della citata legge n. 675.
5. Alla luce delle considerazioni sopra formulate e sulla base della disciplina anteriore al predetto regolamento, il ricorso in esame deve essere dichiarato inammissibile.
Il procedimento previsto dall’art. 29 della legge n. 675/1996 ha tratti particolari in quanto con
il ricorso che lo introduce non si può lamentare qualsivoglia violazione della normativa in tema di dati personali, come può avvenire invece in caso di segnalazioni e reclami rivolti anch’essi al Garante.
Infatti il ricorso ai sensi dello stesso articolo può essere presentato solo per la tutela di una precedente
richiesta ai sensi dell’art. 13, avanzata puntualmente al titolare o al responsabile del trattamento e da
questi disattesa anche in parte.
Le richieste precedentemente avanzate dal ricorrente (con raccomandate del 4 agosto 1998) non
riguardano invece l’esercizio dei diritti previsti dall’art. 13, né contengono alcun riferimento a questo articolo, ma recano un’istanza volta a contestare l’operato della Società y e ad ottenere “ogni opportuna delucidazione al fine di chiarire come mai, in spregio alla normativa vigente, siano state fornite a persona ignota (allo stesso Avv. … ed al Titolare dei dati personali riguardanti lo stesso) dettagliate notizie in merito alle prenotazioni effettuate dal professionista nel periodo ….”.
Pertanto, l’odierno ricorso difetta dei presupposti previsti dall’art. 29, commi 1 e 2, della legge
n. 675/1996, in quanto non è diretto a far valere alcuno dei diritti previsti dal citato art. 13 ma piuttosto a segnalare a questa Autorità l’eventuale violazione delle disposizioni poste a tutela della riservatezza dell’interessato.
L’accertata inammissibilità del ricorso non pregiudica peraltro il diritto del ricorrente di esercitare nei confronti della società titolare del trattamento i diritti previsti dall’art. 13 della legge n.
675/1996, nonché di rivolgersi al giudice ordinario per far accertare eventuali reati e per chiedere il
risarcimento dei danni, anche morali, istanze in merito alle quali la legge n. 675/1996 non ha attribuito competenze a questa Autorità.
PER QUESTI MOTIVI, IL GARANTE:
a) dichiara inammissibile il ricorso;
b) avvia autonomamente ai sensi dell’art. 31, comma 1, lett. d) della legge n. 675/1996, sulla
base della documentazione acquisita in occasione dell’esame del presente ricorso, un apposito procedimento per verificare quanto segnalato dal ricorrente in ordine alla divulgazione dei dati che lo riguardano.
Roma, lì 9 giugno 1999
IL PRESIDENTE
F.to Rodotà
46
Ricorsi
Le richieste formulate dall’interessato, ai sensi dell’art. 13, comma 1, lett. c) e d), della
legge, trovano un limite invalicabile nella disposizione dell’art. 14, comma 1, della citata legge, che esclude la possibilità, da parte dell’interessato, di esercitare tali diritti per i trattamenti di dati raccolti in base alle disposizioni di legge citate nello stesso art. 14.
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof.
Giuseppe Santaniello, vice presidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti, e del dott. Giovanni Buttarelli, segretario generale;
VISTO il ricorso pervenuto il …. e regolarizzato il successivo . …., presentato dall’interessato
nei confronti del titolare in relazione alle richieste volte ad ottenere la conferma dell’esistenza del
trattamento di dati che lo riguardano, la cancellazione ed il blocco dei dati trattati in violazione di legge nonché ad opporsi, per motivi legittimi, al trattamento dei dati stessi (richieste formulate, ai sensi
dell’art. 13 della legge n. 675/1996, con nota del ……);
VISTI gli ulteriori atti d’ufficio e, in particolare, la nota n. del .. …, con la quale è stata invitato il titolare, ai sensi dell’art. 20, comma 1, del d.P.R. n. 501/1998, a fornire un rapido riscontro alla
richiesta dell’interessato e ad inviare con immediatezza all’Ufficio del Garante copia della comunicazione;
VISTA la raccomandata datata .. ….., inviata dal titolare del trattamento all’interessato e, per
conoscenza, a questa Autorità (cui è stata anticipata via fax lo stesso giorno), con la quale si è sostenuto che:
– nonostante l’informativa inoltrata al ricorrente con invito a presentarsi presso i propri sportelli per rilasciare il consenso per il trattamento dei dati personali, l’interessato non avrebbe provveduto a manifestare il proprio consenso o dissenso, “continuando però ad utilizzare i rapporti in precedenza accesi”;
– il ricorrente affermerebbe “di aver invitato - ma solo verbalmente -” la filiale di … “a cessare il trattamento dei propri dati”, soltanto dopo la comunicazione in data ….delle revoca della propria carta di credito (a seguito di protesto di un assegno bancario, pubblicato sul bollettino n. ...);
– la successiva corrispondenza trasmessa dalla banca sarebbe diretta al recupero dei crediti della banca e sarebbe stata inviata anche al fideiussore (padre del ricorrente) “nel pieno rispetto delle
leggi vigenti, ed in particolare in ossequio al disposto dell’art. 1956 c.c.”;
– ogni rapporto del ricorrente con la banca sarebbe stato estinto nel novembre 1998;
– le richieste formulate dall’interessato, ai sensi dell’art. 13, comma 1, lett. c) e d), della legge
n. 675/1996, troverebbero “un limite invalicabile nella disposizione dell’art. 14, comma 1, della citata legge n. 675, che esclude la possibilità, da parte dell’interessato, di esercitare” tali diritti “per i trattamenti di dati raccolti in base alle disposizioni di legge richiamate nel suddetto comma 1 dell’art. 14”;
RITENUTO che la raccomandata inviata dal titolare soddisfi la richiesta del ricorrente sull’esistenza di trattamenti di dati che lo riguardano da parte della stesso titolare;
PRESO ATTO della dichiarazione del titolare che avrebbe estinto ogni rapporto con il ricorrente e che i dati personali di quest’ultimo, già utilizzati per la tutela dei propri diritti in sede giudiziaria (cfr. artt. 12, comma 1, lett. h), 14, comma 1, lett. e), e 20, comma 1, lett. g) legge n. 675), sarebbero ora conservati esclusivamente per le altre finalità previste dalle disposizioni menzionate dall’art.
14, comma 1, della legge n. 675/1996;
RISERVATA ogni successiva verifica, da parte dell’Ufficio del Garante, sulle precise finalità
di cui all’art. 14, comma 1, per le quali i dati relativi all’interessato sono attualmente trattati dal titolare.;
RITENUTO che nei confronti del predetto trattamento di dati, attualmente svolto dal titolare,
l’interessato non possa esercitare i diritti di cui all’art. 13, comma 1, lettere c) e d) ed, in particolare, i diritti alla cancellazione o al blocco dei dati che lo riguardano oppure all’opposizione per motivi legittimi al loro trattamento (cfr. art. 13, comma 1, lettere c), num. 2), e d));
47
Ricorsi
RITENUTA, per questi motivi, la necessità di dichiarare il non luogo a provvedere sull’odierno
ricorso, decisione che non pregiudica la possibilità per il ricorrente di far valere presso l’autorità giudiziaria altri diritti in merito ai quali la legge n. 675/1996 non ha attribuito competenze al Garante
per la protezione dei dati personali;
VISTI gli articoli 13 e 29 della legge 31 dicembre 1996, n. 675 e gli articoli 18, 19 e 20 del
d.P.R. 31 marzo 1998, n. 501;
VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi dell’art. 7, comma
2, lettera a) del d.P.R. 31 marzo 1998, n. 501;
RELATORE il prof. Ugo De Siervo;
TUTTO CIÒ PREMESSO, IL GARANTE:
dichiara, ai sensi dell’art. 20, comma 1, del d.P.R. n. 501/1998, il non luogo a provvedere sul
ricorso, fermo restando ogni ulteriore accertamento da parte dell’Ufficio del Garante delle precise finalità del trattamento attualmente svolto dal titolare del trattamento relativamente ai dati personali
del ricorrente.
Roma, lì 22 giugno 1999
IL PRESIDENTE
F.to Rodotà
IL RELATORE
F.to De Siervo
IL SEGRETARIO GENERALE
F.to Buttarelli
48
Ricorsi
L’art. 18 del d.P.R. n. 501/1998 (pubblicato nel n. 8 di questo Bollettino), prevede quali
debbano essere le modalità di prestazione e il contenuto del ricorso al Garante.
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof.
Giuseppe Santaniello, vice presidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti, e del dott. Giovanni Buttarelli, segretario generale;
VISTO il ricorso datato e pervenuto il successivo . …, presentato del ricorrente nei confronti del
quotidiano …… in relazione alla pubblicazione di suoi dati personali concernenti una vicenda giudiziaria;
VISTI gli ulteriori atti d’ufficio e, in particolare, la nota del .., con la quale questa Autorità ha
invitato la citata società ad aderire spontaneamente alle richieste del ricorrente e ad informare con
immediatezza il Garante in ordine alle determinazioni adottate;
VISTI gli articoli 13 e 29 della legge n. 675/1996 e gli articoli 18, 19 e 20 del d.P.R. 31 marzo
1998, n. 501; visto, altresì, l’art. 37 della medesima legge;
VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi dell’art. 7, comma
2, lettera a) del d.P.R. 31 marzo 1998, n. 501;
RELATORE il prof. Ugo De Siervo;
PREMESSO
Il ricorrente lamenta la pubblicazione, a più riprese, di alcuni dati che lo riguardano da parte
del quotidiano indicato in premessa.
In particolare, il ricorrente ha sostenuto che:
1. in occasione del suo arresto, avvenuto a seguito di alcuni disordini verificatisi durante un incontro calcistico, è stato fotografato da alcuni collaboratori di testate giornalistiche locali;
2. i suoi genitori, al fine di evitare pregiudizi in ambito sociale e lavorativo, hanno prontamente richiesto al quotidiano di mantenere l’anonimato delle persone coinvolte, almeno sino all’accertamento delle effettive responsabilità;
3. il quotidiano medesimo, disattendendo tale richiesta, ha diffuso a più riprese le generalità del
ricorrente, il servizio fotografico che lo ritraeva all’atto della traduzione in manette e, da ultimo, la
professione svolta dal padre, con tutto ciò eccedendo i limiti del diritto di cronaca;
4. tale comportamento lederebbe i principi della legge 675/1996, e, in particolare quelli stabiliti dall’art. 9 (liceità e correttezza del trattamento), dall’art. 11 (necessità del consenso dell’interessato), dall’art. 13, comma 1, lett. c) e d) (diritto di ottenere la cancellazione o il blocco dei dati e di opporsi al trattamento per motivi legittimi), nonché il codice di deontologia per l’attività giornalistica;
5. non sarebbe stata fornita, da parte della medesima testata giornalistica, alcun rilievo alle risultanze processuali favorevoli al ricorrente emerse nel corso delle due udienze preliminari.
Il ricorrente, alla luce delle suesposte considerazioni, chiede quindi al Garante “di accertare …
se siano ravvisabili violazioni alla legge 675/96 a carico del direttore del giornale .. …….”.
TUTTO CIÒ PREMESSO, IL GARANTE:
Il ricorso è inammissibile in quanto difetta del presupposto previsto dall’art. 18, comma 1, lett.
c), del d.P.R. n. 501/1998, non indicando il ricorso stesso il provvedimento richiesto al Garante.
Va peraltro precisato che non sembrano ricorrere gli estremi per un autonomo intervento del Garante relativamente al fatto segnalato, non ravvisandosi una violazione della legge 675 e del codice di
deontologia per l’attività giornalistica, approvato con provvedimento 29 luglio 1998 (in G.U.
3.8.1998, n. 179).
L’accertata inammissibilità del presente ricorso non pregiudica il diritto del ricorrente di esercitare nuovamente, nelle forme dovute, i diritti di cui all’art. 13 della legge presso il titolare o il re-
49
Ricorsi
sponsabile del trattamento, o di rivolgersi al giudice ordinario per far accertare eventuali reati e per
chiedere il risarcimento dei danni, anche morali, istanze in merito alle quali la legge n. 675/1996 non
ha attribuito competenze al Garante.
PER QUESTI MOTIVI:
dichiara, ai sensi dell’art. 19, comma 1, lett. b), del d.P.R. n. 501/1998, l’inammissibilità del ricorso.
Roma, lì 13/9/1999
IL PRESIDENTE
(f.to Rodotà)
IL RELATORE
(f.to De Siervo)
IL SEGRETARIO GENERALE
(f.to Buttarelli)
50
Ricorsi
— Manifesta infondatezza
Il ricorso risulta infondato anche in relazione all’asserita violazione dell’art. 24 della legge n. 675. Quest’ultima disposizione prevede particolari garanzie per il trattamento dei dati di
carattere giudiziario, in riferimento, però, non a tutti gli atti di natura giudiziaria ma ai soli
provvedimenti puntualmente elencati nell’art. 686, commi 1, lettere a) e d), 2 e 3, c.p.p.
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello vice presidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti
e del dott. Giovanni Buttarelli, segretario generale;
ESAMINATO il ricorso presentato dal sig. …. nei confronti del Comune di …..;
VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi dell’art. 7, comma
2, lettera a) del d.P.R. 31 marzo 1998, n. 501;
RELATORE il prof. Ugo De Siervo;
VISTA la documentazione in atti;
PREMESSO:
1. Il ricorrente ha chiesto il blocco del trattamento (ivi compresa la diffusione), da parte del
Comune di ……, dei dati personali relativi ad un procedimento giudiziario penale e alla relativa
sentenza pronunciata a suo carico, lamentando la violazione di varie disposizioni della legge n.
675/1996 (artt. 7, 8, 9 e 24). In particolare, secondo il ricorrente, il Comune non avrebbe rispettato le procedure per il rilascio delle sentenze, le disposizioni previste dall’art. 686 c.p.p. e seguenti
in materia di casellario giudiziale, nonché le norme sulla trasparenza e sull’imparzialità dell’attività
amministrativa.
Il ricorrente ha fatto presente di aver precedentemente rivolto la richiesta di blocco dei dati all’amministrazione comunale, ai sensi dell’art. 13 della legge n. 675, e di non aver ricevuto alcun riscontro (la richiesta è stata allegata al ricorso).
A seguito dell’invito ad aderire formulato dal Garante ai sensi dell’art. 20, comma 1, del d.P.R.
n. 501/1998, il Comune di ….., inviando numerosi documenti (quest’ultima a parziale rettifica di alcune indicazioni fornite precedentemente), ha sostenuto che:
a) alla richiesta del ricorrente sarebbe stato dato riscontro con una nota, anch’essa allegata;
b) la richiesta di blocco dei dati non potrebbe trovare accoglimento in quanto il trattamento dei
dati non sarebbe stato effettuato in violazione di legge;
c) il trattamento dei dati verrebbe, infatti, svolto dall’amministrazione ai fini della definizione del
procedimento disciplinare avviato in relazione al procedimento penale cui il ricorrente è stato sottoposto, ai sensi del d.lg. n. 29/1993 (artt. 58-bis e 59), del C.C.N.L. del comparto enti locali – periodo
1994/1997 - e del codice disciplinare concernente il personale del Comune (adottato in conformità al
codice di comportamento definito con decreto del Ministro della funzione pubblica del 31 marzo 1994);
d) nel 1995, su propria istanza, il ricorrente sarebbe stato reintegrato in servizio e trasferito provvisoriamente ad altro ufficio in attesa della definizione della relativa posizione processuale; a partire
da tale data, l’amministrazione comunale avrebbe chiesto ripetutamente notizie all’autorità giudiziaria
competente in merito alla situazione processuale di alcuni dipendenti comunali sottoposti a processo
penale, tra cui il ricorrente, per i quali il Comune aveva adottato appositi “atti cautelativi”;
e) non vi sarebbe violazione degli artt. 8 e 9 della legge n. 675, in quanto la copia della sentenza definitiva di patteggiamento, emessa nel 1997 nei confronti dell’interessato e per la quale si è formato il giudicato, sarebbe stata trasmessa dal Tribunale di …… al Sindaco e da quest’ultimo custodita, senza diffonderla a terzi, fino alla recente comunicazione all’ufficio comunale competente ad avviare il procedimento disciplinare, ai sensi delle disposizioni del regolamento sull’accesso ai documenti del Comune (che, agli artt. 35 e seguenti disciplina specificamente i profili del trattamento dei
dati personali in ambito comunale con riferimento ai relativi titolare e responsabili) e del codice disciplinare recentemente integrato con deliberazione della Giunta comunale;
51
Ricorsi
f) i dati personali in questione riguarderebbero un provvedimento giudiziario che non rientrerebbe nell’ambito di applicazione dell’art. 24 della legge n. 675; pertanto, il relativo trattamento non
sarebbe soggetto a notificazione, essendo necessario per assolvere ad un compito previsto da norme
di legge o di regolamento (v. art. 7, comma 5-ter, lett. a), legge 675).
In data 1 luglio 1999, si è svolta presso l’Ufficio del Garante l’audizione delle parti, nella quale il ricorrente ha ribadito quanto precisato nelle memorie precedentemente inviate all’Autorità. In
particolare, il ricorrente ha affermato che la sentenza avrebbe “disposto la sospensione condizionale
della pena e, pertanto, la non menzione nel casellario giudiziale ai sensi dell’art. 686 c.p.p.” e che il
Comune avrebbe dovuto acquisire il certificato dal casellario giudiziale ai sensi dell’art. 688, comma
1, secondo capoverso, c.p.p., anziché procurarsi una sentenza “dopo due anni dal passaggio in giudicato della sentenza dando avvio al trattamento e diffusione dei dati inerenti” con grave violazione
della legge n. 675/1996.
Nella stessa audizione, il Comune di …….., per il tramite dei propri rappresentanti, ha ribadito anch’esso le osservazioni precedentemente formulate nelle memorie, sottolineando che la sentenza in questione sarebbe stata acquisita dall’autorità giudiziaria a seguito delle reiterate istanze di conoscere l’esito dei procedimenti penali cui erano stati sottoposti alcuni dipendenti, per “ottemperare
al dovere dell’amministrazione di definire le posizioni amministrative degli stessi dipendenti che erano
stati oggetto in precedenza di provvedimenti di sospensione cautelare dal servizio”. A tale proposito, il
ricorrente ha a sua volta evidenziato di non aver potuto accertare “la procedura seguita dall’amministrazione per richiedere la sentenza de quo” e di non aver potuto quindi “verificare la trasparenza di tale procedura di acquisizione anche in relazione a molteplici vicende giudiziarie riguardanti altri dipendenti”.
CIÒ PREMESSO, IL GARANTE OSSERVA:
2. Il ricorso è infondato. La richiesta di blocco dei dati personali è infatti priva di valido supporto giuridico, non risultando che i dati siano trattati dal Comune in violazione di legge.
L’art. 13 della legge n. 675/1996 attribuisce all’interessato la facoltà di ottenere “il blocco dei
dati trattati in violazione di legge, …” (v. comma 1, lett. c), num. 2)).
Le doglianze del ricorrente in ordine alla procedura di acquisizione dei dati, con riferimento anche all’art. 9 della legge n. 675/1996, appaiono infondate in quanto le citate disposizioni di cui all’art. 686 c.p.p. ss. riguardano il rilascio di certificati relativi al casellario giudiziale e non anche il
rilascio di copie di atti, quali la sentenza in questione (che è acquisibile lecitamente ai sensi dell’art.
116 c.p.p. e dell’art. 15, comma 4-septies ss. della legge n. 55 del 1990). Sotto questo profilo, il ricorrente ha ipotizzato in termini generici la violazione da parte del Comune della procedura prevista
per l’acquisizione di copie di sentenze, senza però fornire elementi in proposito (e sostenendo, anzi,
nel corso dell’audizione, di non aver potuto verificare la procedura seguita dall’amministrazione).
Nel caso di specie, l’amministrazione comunale ha, quindi, acquisito copia della sentenza emessa dal Tribunale di …… …. nei confronti del ricorrente, anziché certificati del casellario giudiziale,
e non risulta aver utilizzato i dati relativi a tale provvedimento per fini diversi da quelli relativi allo
svolgimento del procedimento disciplinare nei confronti del ricorrente medesimo.
È da considerare che il ricorso risulterebbe infondato anche in relazione all’asserita violazione
degli artt. 686 c.p.p. e 24 della legge n. 675. Quest’ultima disposizione prevede particolari garanzie
per il trattamento dei dati di carattere giudiziario, in riferimento, però, non a tutti gli atti di natura giudiziaria ma ai soli provvedimenti puntualmente elencati nell’art. 686, commi 1, lettere a) e d), 2 e 3,
c.p.p.
La sentenza applicativa di una pena detentiva su richiesta delle parti non è specificamente menzionata nelle citate disposizioni dell’art. 686; ciò, secondo l’interpretazione letterale di queste ultime, renderebbe inoperante l’art. 24 della legge nel caso al quale si riferisce il ricorso.
La sentenza in esame è però comunque iscritta nel casellario giudiziale (cfr. art. 689, comma 2,
lett. a), num. 5), in riferimento all’art. 445 c.p.p.).
Tuttavia, anche volendo ritenere che l’art. 686 sia applicabile nel caso di specie, non risulterebbe provata, in ogni caso, una violazione dell’art. 24 della legge n. 675/1996 in quanto, per il trattamento dei dati di carattere giudiziario considerati da tale disposizione, l’art. 41, comma 5, della
52
Ricorsi
stessa legge aveva finora previsto un regime transitorio, che è stato ora sostituito da una più articolata disciplina introdotta dal decreto legislativo 11 maggio 1999, n. 135, in fase di completamento, che
rende ammissibile il trattamento di questi dati da parte delle amministrazioni nell’ambito del rapporto
di lavoro e, in particolare, per svolgere attività dirette all’accertamento della responsabilità disciplinare (art. 9, comma 2, lett. g). d.lg. n. 135 citato).
Alla luce di quanto sopra esposto, appaiono, altresì, infondate le ulteriori e generiche doglianze del ricorrente circa una presunta violazione di altre disposizioni della legge n. 675/1996 da parte
del Comune di ……che, in quanto titolare del trattamento dei dati personali, ha provveduto comunque a disciplinare, tra gli altri, anche gli aspetti dell’individuazione dei relativi responsabili ed incaricati nell’ambito delle disposizioni del proprio regolamento sull’accesso ai documenti amministrativi (artt. 34 ss.).
TUTTO CIÒ PREMESSO, IL GARANTE:
dichiara infondato il ricorso.
Roma, lì 12 luglio 1999
IL PRESIDENTE
(f.to Rodotà)
IL RELATORE
(f.to De Siervo)
IL SEGRETARIO GENERALE
(f.to Buttarelli)
53
Ricorsi
La questione affrontata dal Garante in questo ricorso tiene conto del fatto che i registri
dei battezzati rientrano fra i registri ufficiali della Chiesa cattolica e, quindi di un ordinamento “indipendente e sovrano” rispetto a quello dello Stato italiano, così come previsto dall’art. 7 della Costituzione della Repubblica Italiana.
L’aspirazione degli interessati a veder correttamente rappresentata la propria immagine
in relazione alle proprie convenzioni originarie o sopravvenute, può semmai essere idoneamente soddisfatta da misure diverse dalla pura cancellazione, con le quali gli stessi possono ottenere dai titolari o dai responsabili che i dati da essi detenuti acquistino un diverso significato.
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof.
Giuseppe Santaniello, vice presidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti, e del dott. Giovanni Buttarelli, segretario generale;
VISTO il ricorso pervenuto il ...., presentato dal Sig. …. nei confronti dell’arciprete del … in
merito alla non intervenuta cancellazione dei propri dati personali dai registri dei battesimi conservati presso l’archivio parrocchiale di ..;
VISTI gli ulteriori atti d’ufficio e, in particolare, la nota n. ...., con la quale questa Autorità ha
invitato l’arciprete del …. a fornire riscontro alle richieste del ricorrente e ad informare con immediatezza il Garante in ordine alle determinazioni adottate;
VISTA, altresì, la nota di risposta dell’arciprete del ….. con la quale il medesimo ha comunicato di aver interessato della questione la Curia vescovile di .., la quale avrebbe a sua volta si sarebbe rivolta ai competenti uffici della Conferenza episcopale italiana;
VISTO il verbale redatto a seguito dell’audizione del dott. ….. in rappresentanza del Sig. …. il
giorno 8 corrente, il quale ha sostanzialmente ribadito la volontà di veder cancellati i propri dati non
ritenendo soddisfacente la loro semplice rettificazione;
VISTI gli articoli 13 e 29 della legge n. 675/1996 e gli articoli 18, 19 e 20 del d.P.R. 31 marzo
1998, n. 501; visto, altresì, l’art. 37 della medesima legge;
VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi dell’art. 7, comma
2, lettera a) del d.P.R. 31 marzo 1998, n. 501;
RELATORE il prof. Ugo De Siervo;
PREMESSO:
1. Il ricorrente lamenta la mancata cancellazione dei propri dati personali dai registri dei battezzati conservati presso l’archivio parrocchiale di …., riferendo, in particolare:
a) di aver richiesto con lettera raccomandata all’arciprete del ….., e per conoscenza al Vescovo
di …., la cancellazione dagli elenchi parrocchiali dei battezzati del proprio nominativo e della data
del battesimo ricevuto, motivando tale richiesta con le proprie “convinzioni ateistiche”;
b) che l’arciprete del …. si è limitato ad assicurare il ricorrente di aver allegato la predetta nota al suo atto di battesimo, assicurazione reiterata dal Vescovo di …. che ha dichiarato l’impossibilità
di dar corso alla richiesta di cancellazione sulla base dell’assunto che “non è possibile annullare un
fatto realmente accaduto”;
c) che tale comportamento lederebbe in primo luogo il disposto dell’art. 13, comma 1, lett. c),
n. 3 della legge n. 675/1996 che garantisce all’interessato il diritto di ottenere “l’aggiornamento, la
rettificazione, ovvero, quando vi abbia interesse, l’integrazione dei dati”, lesione tanto più grave in
quanto riferita a dati di carattere “sensibile”. Secondo il ricorrente, infatti, la mancata cancellazione
dei suoi dati personali del ricorrente, violerebbe da un lato il suo “diritto all’oblio”, inteso come “diritto di essere lasciato solo” e, dall’altro, il suo diritto ad “avere un’immagine di sé in cui riconoscersi e violando così quell’aspetto della privacy che ne fa uno strumento di tutela dell’identità personale
(art. 1, comma 1, legge 675/1996)”;
54
Ricorsi
d) che tale comportamento violerebbe altresì l’art. 13, comma 1, lett. c), n. 2 della legge n.
675/1996, che garantisce all’interessato “la cancellazione, la trasformazione in forma anonima o il
blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione
in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati”. Il ricorrente, infatti, avrebbe interrotto ogni rapporto con la Chiesa cattolica da oltre quaranta anni e non vi sarebbe
alcuna ragione tale da giustificare la conservazione dei suoi dati;
e) che l’obiezione della parte resistente secondo la quale il battesimo come fatto storico non può
essere cancellato sarebbe “soltanto uno pseudoargomento” dato che “ogni registrazione si riferisce a
fatti accaduti e comunque essa stessa, in quanto tale, è un fatto storico”; d’altronde il ricorrente non
chiederebbe di considerare il fatto come non avvenuto, ma solo di cancellarne le tracce, cosa che, a
suo dire, sarebbe peraltro già avvenuta in altri casi analoghi;
f) che se anche si volesse riconoscere la pertinenza del dato registrato rispetto allo scopo della
raccolta, il comportamento della parte resistente violerebbe comunque il diritto dell’interessato di opporsi, per motivi legittimi, al trattamento dei dati personali che lo riguardano ancorché pertinenti allo scopo della raccolta (art. 13, comma 1, lett. d) della legge 675/1996); i motivi legittimi in questione sarebbero da rinvenirsi nelle esposte convinzioni filosofiche e religiose del ricorrente che, a suo
avviso, dovrebbero essere ritenute prevalenti in un’eventuale bilanciamento di interessi, all’interesse
storico-archivistico della conservazione completa dei dati registrati negli archivi parrocchiali;
g) che l’esclusione dagli elenchi delle persone battezzate risponderebbe ad un’esigenza profondamente sentita da moltissimi atei ed agnostici, in relazione anche al desiderio di evitare che i dati
aggregati relativi alla popolazione cattolica siano “falsati” da informazioni non più rispondenti alla
reale volontà degli interessati.
Il ricorrente chiede quindi al Garante di ordinare la cessazione del comportamento illegittimo
“da parte dei responsabili e degli incaricati del trattamento”.
TUTTO CIÒ PREMESSO:
3. Il ricorso in esame è infondato.
È anzitutto infondato il rilievo secondo cui sarebbe violato l’art. 13, comma 1, lett. c), n. 3, della legge n. 675/1996, per il quale l’interessato ha diritto a ottenere “l’aggiornamento, la rettificazione, ovvero qualora vi abbia interesse, l’integrazione dei dati”; ciò in quanto la questione sollevata non
riguarda (salvo quello che si dirà nel prosieguo) né dati non aggiornati, né dati inesatti o incompleti,
essendo piuttosto riferita a dati che si intenderebbe eliminare sotto il profilo della loro materiale esistenza.
Ai sensi dell’art. 13, comma 1, lett. c), n. 2, della legge n. 675/1996, poi, la cancellazione dei
dati può essere richiesta solo quando questi siano trattati in violazione di legge o la loro conservazione non sia necessaria in relazione agli scopi per i quali essi sono stati raccolti e trattati.
Verificato che la pretesa del ricorrente non è fondata sotto questo primo profilo in quanto i dati relativi all’avvenuto battesimo del ricorrente non risultano trattati in violazione di legge e rientrano nelle pertinenti attività della confessione religiosa, un eventuale fondamento giuridico della pretesa del ricorrente potrebbe semmai risiedere nelle motivazioni che sono alla base della loro conservazione.
Tuttavia, a tale proposito, precisato che il battesimo non è solo un atto di carattere confessionale, ma anche un atto giuridico costitutivo che segna l’ingresso di una persona nella Chiesa cattolica,
va osservato che la sua registrazione, non costituisce solo un dato relativo all’aderente, ma rappresenta un aspetto della vita (ed anche un dato) del soggetto o dell’organismo che lo detiene. In altre
parole, la Chiesa, al pari, ad esempio, di quanto può avvenire per varie entità associative, non può
cancellare la traccia di un avvenimento che storicamente l’ha riguardata se non a costo di modificare la stessa rappresentazione della propria realtà.
La questione assume peraltro un rilievo particolare, tenuto conto del fatto che i registri dei battezzati rientrano fra i registri ufficiali della Chiesa cattolica e, quindi di un ordinamento “indipendente e sovrano” rispetto a quello dello Stato italiano, così come previsto dall’art. 7 della Costituzione.
L’aspirazione degli interessati a veder correttamente rappresentata la propria immagine in relazione alle proprie convenzioni originarie o sopravvenute, può semmai essere idoneamente soddisfat-
55
Ricorsi
ta da misure diverse dalla pura cancellazione, con le quali gli stessi possono ottenere dai titolari o dai
responsabili che i dati da essi detenuti acquistino un diverso significato.
In questa prospettiva, tenuta ferma la necessità di rendere comunque inequivocabile la volontà
dell’interessato, per quanto riguarda le modalità pratiche attraverso le quali soddisfare le richieste di
rettificazione, deve farsi riferimento alla specifica tipologia degli atti che vengono in esame. In alcuni casi, ad esempio, potrà ritenersi praticabile, ad esempio, una semplice annotazione a margine del
dato da rettificarsi, mentre, in altri, può essere più idoneo inserire o allegare la richiesta di rettifica
agli atti in questione.
Una volta preso atto della volontà dell’interessato di abbandonare una determinata comunità, ne
discende l’impossibilità di continuare a considerare la persona in questione come ancora appartenente al gruppo, all’associazione o, nel caso specifico, alla confessione religiosa.
Tale considerazione impedisce, ad esempio, per eventuali attività (anche statistiche) che dovessero compiersi successivamente a detta manifestazione di volontà, di continuare a considerare la
persona fra gli aderenti alla comunità. Viceversa, per quanto riguarda eventuali rilevazioni statistiche
già effettuate, la lettura complessiva del dettato normativo dei decreti di completamento della disciplina sulla riservatezza, induce a ritenere sufficiente la semplice annotazione delle modifiche ed integrazioni richieste dall’interessato, sempre che tali operazioni non producano effetti significativi sul
risultato statistico o della ricerca (per una recente tendenza dell’ordinamento in tal senso, si veda, ad
esempio, l’art. 21-bis, comma 2, l. n. 675/1996, introdotto dall’art. 9 del d. lgs. 30 luglio 1999, n.
281; l’art. 6-bis, comma 8, d. lgs. 6 settembre 1989, n. 322, introdotto dallo stesso d. lgs. n. 281/1999;
l’art. 5, comma 2, d. lgs. 30 luglio 1999, n. 282).
In conclusione, il registro di battesimo, in riferimento ad una persona che si professi atea, non
contiene dati trattati illecitamente, né notizie inesatte o incomplete, documentando il registro un fatto correttamente rappresentato, da considerare nella sua singolarità e cioè come rappresentazione di
un evento (il battesimo) realmente avvenuto.
Il diritto di opposizione per motivi legittimi potrebbe essere semmai esercitato nei riguardi di
specifiche, ulteriori, utilizzazioni di dati relativi all’appartenenza religiosa dalle quali l’opponente ritenga di ricevere pregiudizio, tenendo peraltro presenti le regole interne e le idonee garanzie che talune confessioni religiose determinano al proprio interno in relazione ai trattamenti effettuati (art. 5
del d. lg. 11 maggio 1999, n. 135, che ha modificato la precedente formulazione dell’art. 22 della legge 675/1996).
Resta peraltro impregiudicato il diritto del ricorrente di far integrare a sua richiesta la complessiva documentazione che lo riguarda, anche senza che sia necessaria una specifica indicazione
delle relative ragioni che sono alla base di tale istanza.
PER QUESTI MOTIVI
il Garante dichiara infondato il ricorso.
Roma, lì 13/9/1999
IL PRESIDENTE
(f.to Rodotà)
IL RELATORE
(f.to De Siervo)
IL SEGRETARIO GENERALE
(f.to Buttarelli)
56
Trattamento dei dati personali
TRATTAMENTO DEI DATI PERSONALI
— Privati ed enti pubblici economici
L’articolo 10 comma 4 della legge n. 675/1996 consente anzitutto di non informare l’interessato dell’avvenuta raccolta dei dati qualora: a) i dati siano utilizzati solo per “far valere”
o “difendere” un diritto in sede giudiziaria o ai fini dello svolgimento delle investigazioni di
cui all’art. 38 disp. att. c. p. p.; b) il trattamento si protragga per il tempo strettamente necessario al perseguimento di tali fini.
Roma li,16 giugno, 1999
Spett.le Società ……..
OGGETTO : Acquisizione di dati personali per la tutela di un diritto in sede giudiziaria.
Con riferimento al quesito formulato si osserva che la legge n. 675/1996 sulla protezione dei dati
personali ha disciplinato in vari articoli il trattamento dei dati personali finalizzato alla tutela di un diritto in sede giudiziaria (in particolare, v. artt. 10 comma 4, 12 comma 1 lett. h) e 20 comma 1 lett. g)).
In tali disposizioni sono state previste alcune eccezioni all’ordinaria disciplina che trovano il loro fondamento nella peculiare esigenza di tutela del diritto di difesa.
L’articolo 10 comma 4, consente anzitutto di non informare l’interessato dell’avvenuta raccolta
dei dati qualora: a) i dati siano utilizzati solo per “far valere” o “difendere” un diritto in sede giudiziaria o ai fini dello svolgimento delle investigazioni di cui all’art. 38 disp. att. c. p. p.; b) il trattamento si protragga per il tempo strettamente necessario al perseguimento di tali fini.
L’articolo 12, comma 1 lett. h) indica poi un caso di esclusione del consenso dell’interessato in
presenza di analoghi presupposti. Infine l’articolo 20, comma 1 lett. g) ammette la comunicazione (ma
non anche la diffusione) dei dati personali da parte di privati o di enti pubblici economici, quando
questa sia parimenti necessaria all’esercizio di un diritto in sede giudiziaria o per le predette investigazioni, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente
necessario al loro perseguimento.
Per completezza di esposizione si ricorda che tali eccezioni non si applicano in caso di trattamento dei dati c.d. “sensibili”, per trattare i quali la S.V. dovrà invece uniformarsi alle prescrizioni
contenute nell’autorizzazione n. 4/1998 al trattamento dei dati sensibili da parte dei liberi professionisti emanata dal Garante ai sensi dell’articolo 41, comma 7, della legge n. 675/1996 (G.U. del 1 ottobre 1998, n. 113). Un regime più specifico che permette di prescindere dal consenso è previsto poi
per il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale.
Per effettuare invece i trattamenti di dati di cui all’articolo 24, comma 1, della medesima legge
(idonei a rivelare i provvedimenti giudiziari indicati nell’articolo 686, commi 1, lett. a) e d) , 2 e 3,
del codice di procedura penale), trattamenti che ai sensi dell’articolo 41, comma 5, potevano essere
proseguiti sino all’8 maggio u.s. anche in assenza delle disposizioni di legge e previa comunicazione
al Garante, si dovrà osservare quanto di recente previsto dal provvedimento del 10 maggio 1999 emanato dal Garante ai sensi dell’articolo sopra citato (G.U. del 14 maggio 1999, n. 111), “Autorizzazione al trattamento di dati di carattere giudiziario da parte di privati ed enti pubblici economici”.
Nessuna autorizzazione giudiziaria è poi prevista per il rilascio delle ordinarie certificazioni
anagrafiche, fatto salvo il caso della richiesta dell’estratto per copia integrale di un atto dello stato civile (art. 185 r. d. 9 luglio 1939, n. 1238).
Da tale esposizione appare quindi evidente come la legge n. 675/1996 non costituisca un ostacolo all’acquisizione di dati per le finalità predette.
IL PRESIDENTE
57
Trattamento dei dati personali
Possono essere designati quali “incaricati del trattamento” solo ed esclusivamente le persone fisiche e non anche le entità personificate che possono invece rivestire la qualità di responsabile del trattamento (articolo 1, comma 2 lett. e) della legge 675/1996).
Roma li,8/6/1999
Spett.le Società …….
OGGETTO: Quesito su applicazione della legge 675/1996
La Vs. Società ha chiesto al Garante un parere in merito alla possibilità di nominare, quale incaricato del trattamento, una società esterna che in base ad un vincolo contrattuale fornisce servizi
concernenti la stampa e l’elaborazione dei cedolini di stipendio dei dipendenti.
In proposito, occorre premettere che la legge n. 675/1996, nel prevedere la figura dell’incaricato del trattamento” (art. 19), ha inteso evitare che i collaboratori del titolare del trattamento siano
considerati quali “terzi” ai fini dell’applicazione delle disposizioni sulla protezione dei dati personali. Infatti, non sono considerati “terzi” gli incaricati del trattamento previamente individuati per
iscritto e che operano sotto la “diretta autorità” del titolare o del responsabile, attuandone le istruzioni. Tale possibilità può essere utilizzata sia quando gli incaricati operano all’interno dell’ordinaria
struttura del titolare, sia quando essi coadiuvano il titolare stesso operando presso un centro esterno.
È necessario tener conto, però, che possono essere designati quali “incaricati del trattamento”
solo ed esclusivamente le persone fisiche e non anche le entità personificate che possono invece rivestire la qualità di responsabile del trattamento (articolo 1, comma 2 lett. e) della legge 675/1996).
Ciò non deve tuttavia portare a ritenere che la Vs Società non possa avvalersi della collaborazione di un entità esterna, anche in forma di outsourcing. Infatti, gli artt. 8, comma 4 e 19, se da un
lato non consentono di nominare come “incaricato del trattamento” la società esterna, dall’altro non
escludono la possibilità (ed anzi introducono un obbligo in tal senso), di conferire l’incarico stesso ai
dipendenti di detta società, i quali devono operare necessariamente sotto la “diretta autorità” del titolare o dell’eventuale responsabile del trattamento oggetto del contratto, “autorità” che si concretizza anche attraverso istruzioni periodiche .
Si ricorda infatti che possono accedere ai dati trattati per conto della Vs. Società le sole persone fisiche incaricate per iscritto del trattamento dei dati stessi. Tale principio opera anche in caso di
coinvolgimento di personale esterno. È invece facoltativa la designazione della società esterna come
“responsabile del trattamento”, anche se tale preposizione diviene una soluzione in qualche modo obbligata quando una parte, sia pure strumentale, dei trattamenti necessari per perseguire le finalità del
titolare del trattamento è curata, pur con limitata autonomia, da un soggetto esterno.
In conclusione, se non è possibile designare una società esterna quale “incaricato del trattamento”, è però possibile avvalersene osservando i principi sopra esposti.
IL PRESIDENTE
58
Trattamento dei dati personali
La materia delle adozioni è regolata da specifiche disposizioni normative non modificate
dalla legge 675 che non consentono il rilascio dell’unico certificato comprovante la maternità,
ossia il certificato di assistenza al parto come confermato da orientamenti giurisprudenziali
Roma, 11/8/1999
OGGETTO: certificato di assistenza al parto
Nel corso di una trasmissione del “Maurizio Costanzo Show”, Lei ha segnalato il suo desiderio
di conoscere l’identità dei Suoi genitori naturali e le difficoltà incontrate al riguardo presso l’ospedale dove è nata e altri uffici.
La lettera da Lei indirizzata a questa Autorità nel novembre dello scorso anno non risulta pervenuta.
Dalle informazioni che Lei stessa ci ha fornito, e dalle visione della registrazione della trasmissione, abbiamo però appreso del Suo stato di figlia adottiva, della conoscenza accidentale che Lei ha
avuto di questa circostanza e delle varie ricerche da Lei intraprese per identificare i Suoi genitori, che
si sono arrestate di fronte al rifiuto dell’ospedale di fornire notizie o di rilasciare copie del certificato
di assistenza al parto.
La questione da Lei sollevata non è regolata specificamente dalla normativa sulla tutela dei dati personali, essendo piuttosto dipendente da altre disposizioni della complessa normativa dello stato
civile e delle adozioni.
Abbiamo comunque esaminato con attenzione il Suo caso e Le forniamo alcuni elementi di valutazione dai quali Lei potrà constatare che l’attuale ordinamento considera di regola prevalente la
scelta del genitore di conservare l’anonimato rispetto all’interesse del figlio di conoscerne l’identità.
Più precisamente, la legge n. 675 non ha modificato le principali norme in materia di stato civile, anagrafe e adozioni (art. 43, comma 2 legge n. 675/96).
L’articolo 28 della legge 4 maggio 1984, n.183, che disciplina l’adozione e l’affidamento dei minori, dispone infatti che “l’ufficiale di stato civile e l’ufficiale di anagrafe devono rifiutarsi di fornire
notizie, informazioni, certificazioni estratti o copie dai quali possa comunque risultare il rapporto di
adozione, salvo autorizzazione espressa dell’autorità giudiziaria”.
Quanto al certificato di assistenza al parto, la più recente disciplina ha stabilito che “la dichiarazione di nascita è resa indistintamente da uno dei genitori, da un procuratore speciale, ovvero dal
medico o dalla ostetrica o da altra persona che ha assistito al parto, rispettando l’eventuale volontà
della madre di non essere nominata” (art. 2 legge 15 maggio 1997 n. 127, come modificata dalla legge 16 giugno 1998 n. 191).
Anche la giurisprudenza si è occupata della questione. In un caso, infatti, è stato respinto un ricorso presentato da una signora che, per motivi personali, chiedeva all’ospedale competente di aver
accesso, in base alla legge n.241/90 sulla trasparenza amministrativa, alla documentazione attestante le generalità della propria madre e, in particolare, al certificato di assistenza al parto; tale accesso
è stato negato ritenendo che si tratti di uno dei casi di segreto previsti dalla medesima legge n. 241 (
Sent. T.A.R. Lazio sez. III ter del 17 luglio 1998).
In proposito, il tribunale amministrativo ha precisato che in tale caso l’accesso sia da escludere in quanto la conservazione dell’anonimato della madre, secondo la scelta compiuta all’epoca del
parto, sarebbe collegata ad un “..interesse riconosciuto e protetto dall’attuale ordinamento”. Il riconoscimento normativo del diritto della madre all’anonimato – rileva, in particolare, la sentenza del
T.A.R. Lazio - sarebbe giustificato “non solo da esigenze di tutela della riservatezza della persona, ma
anche da superiori ragioni attinenti alla salvaguardia degli interessi, giuridici e sociali, sia della famiglia legittima e dei suoi componenti sia degli stessi figli non riconosciuti”.
In un altro caso un tribunale amministrativo ha stabilito che il giudice deve rilasciare l’autorizzazione per consentire al medico di conoscere i dati relativi genitori naturali del paziente, solo in caso vengano riscontrate nel soggetto patologie la cui cura necessita di accurati esami genetici (Ordinanza del Tribunale di Napoli del 24 luglio 1998, n. 322).
59
Trattamento dei dati personali
Alla luce delle considerazioni sopra esposte, deve ritenersi che la materia delle adozioni è regolata da specifiche disposizioni normative non modificate dalla legge 675 che non consentono il rilascio dell’unico certificato comprovante la maternità, ossia il certificato di assistenza al parto come
confermato dai suddetti orientamenti giurisprudenziali.
Questo quadro d’insieme è ulteriormente confermato dai lavori preparatori del prossimo “Regolamento per la revisione e la semplificazione dell’ordinamento dello stato civile, ai sensi dell’art. 2,
comma 12 della legge 127/97”, di cui si allega per conoscenza il parere di rilasciato da questa Autorità alla Presidenza del Consiglio dei Ministri.
Il Garante nel restare a disposizione per ogni ulteriore chiarimento, Le segnala che sono attualmente all’esame del Parlamento alcune proposte di legge di modifica della legge n. 4 maggio 1984, n.
183, che prendono in considerazione fra l’altro la delicata problematica da Lei evidenziata.
IL PRESIDENTE
60
Trattamento dei dati personali
— Soggetti pubblici
La legge n. 675/96 non ha introdotto alcun divieto di dare conoscibilità ai dati, ma in
un quadro di maggiore trasparenza stabilisce che le amministrazioni e gli enti pubblici possono diffondere i dati personali a privati o a enti pubblici economici quando ciò sia previsto da
norme di legge o di regolamento (art. 27, comma 3).
Roma, 16 giugno 1999
Automobile Club d’Italia
Via Marsala, 8
00185 Roma
e, p.c Presidenza del Consiglio dei Ministri
Dipartimento affari regionali
Ufficio legislativo
Via della Stamperia, 7
00186 Roma
Conferenza Stato – Regioni
Via del Tritone, 142
00186 Roma
OGGETTO: Pubblicità elenco dei soggetti autorizzati alla demolizione dei veicoli
e dei rimorchi.
L’Automobile Club d’Italia, ente pubblico non economico, ha chiesto il parere di questa Autorità sulla possibilità di procedere alla pubblicazione dell’elenco dei soggetti e dei centri autorizzati a
svolgere l’attività di demolizione di veicoli e di rimorchi.
La legge n. 675/96 non ha introdotto alcun divieto di dare conoscibilità a questi dati, ma in
un quadro di maggiore trasparenza stabilisce che le amministrazioni e gli enti pubblici possono
diffondere i dati personali quando ciò sia previsto da norme di legge o di regolamento (art. 27, comma 3).
È necessario quindi che la materia trovi la sua disciplina in un’apposita disposizione di rango
normativo primario o secondario; la previsione contenuta in un regolamento interno dell’A.C.I. non
può considerarsi fonte idonea a permettere tale forma di diffusione.
L’attività di demolizione dei veicoli e dei rimorchi è disciplinata dal decreto legislativo 5 febbraio 1997, n. 22, modificato dal decreto legislativo 8 novembre 1997 n. 389, che prevede fra l’altro
specifiche competenze degli organi regionali; le funzioni e le competenze in tale materia sono state
devolute infine alle regioni e agli enti locali, in attuazione anche del decreto legislativo 31 marzo 1998
n. 112.
Codesto ente dovrà quindi verificare, alla luce della recente normativa, il soggetto competente
a pubblicare tale elenco .
Per quanto riguarda l’obbligo di notificazione, si conferma quanto osservato dall’A.C.I.; non vi
è quindi l’obbligo di notificare i trattamenti effettuati con l’istituzione dell’archivio dei demolitori, se
i dati ivi contenuti si riferiscono a persone giuridiche, enti o associazioni (art. 26 comma 1 legge
n. 675/1996).
61
Trattamento dei dati personali
Si segnala infine che i soggetti pubblici non sono esonerati dall’obbligo d’informativa prevista
dall’art. 10 della legge n. 675.
Codesto ente è quindi tenuto a dare l’informativa agli interessati per il trattamento dei loro dati
personali effettuato con l’istituzione del predetto archivio.
Il Garante segnala quindi all’A.C.I. l’opportunità di riesaminare il caso secondo le considerazioni sopra formulate, interessando i diversi organi statali e regionali competenti.
IL PRESIDENTE
62
Trattamento dei dati personali
Il Garante sottolinea che “la diffusione dei dati idonei a rivelare lo stato di salute è vietata” (art.
23, comma 4, legge n. 675/1996). Pertanto la divulgazione di dati personali ad organi di stampa, in
ordine allo stato di salute di una persona, in assenza di un consenso dell’interessato o dei suoi legittimi rappresentanti, è illegittima a prescindere dalla loro esattezza.
Roma, 16/6/1999
Direttore generale
Azienda U.S.L.
e p.c. Sigg. ri
OGGETTO: segnalazione in ordine alla diffusione di dati personali relativi allo
stato di salute di una minorenne
I sigg. …., in qualità di genitori esercenti la patria potestà nei confronti della propria figlia minore ….., hanno segnalato l’illegittimo trattamento di dati personali sensibili, relativi allo stato di salute della citata minorenne, che sarebbe stato effettuato sia da personale sanitario di codesta U.S.L.,
sia da alcuni organi di stampa.
Più specificamente, secondo i ricorrenti, sarebbe stata “illegittimamente ed indebitamente diffusa da parte del personale sanitario in violazione dell’art. 23 della legge n. 675/1996” la notizia delle cause del malore che aveva colpito la ragazza la sera del …. mentre la stessa passeggiava insieme
ad alcuni amici nel centro della propria città di residenza.
Tale malore, in conseguenza di alcune affermazioni rilasciate da personale appartenente a codesta azienda sanitaria, sarebbe stato associato impropriamente dai giornali ai contraccolpi psicologici determinati dalla cessazione del funzionamento di un “pulcino elettronico” .
Al riguardo, il Garante ricorda che “la diffusione dei dati idonei a rivelare lo stato di salute è
vietata” (art. 23, comma 4, legge n. 675/1996). Pertanto la divulgazione di dati personali ad organi di
stampa, in ordine allo stato di salute di una persona, in assenza di un consenso dell’interessato o dei
suoi legittimi rappresentanti, è illegittima a prescindere dalla loro esattezza.
Una attenzione ancora maggiore deve essere prestata, poi, quando il paziente sia un minorenne,
attesa la delicatezza del quadro psicologico che sempre caratterizza un adolescente in formazione.
Su questi obblighi normativi, chiaramente fissati dalla legge 31/12/1996 n. 675 in materia di
protezione dei dati personali, appare quindi necessario segnalare alla S.V. l’esigenza di richiamare
l’attenzione di tutto il personale dipendente di codesta Azienda.
I genitori hanno fatto riferimento anche ad una intervista televisiva rilasciata dal dr. …
In proposito, si invita la S.V. a comunicare al Garante se codesta Azienda abbia effettuato accertamenti in ordine alle dichiarazioni ad organi di stampa attribuite al citato sanitario e se siano stati promossi procedimenti disciplinari in merito, così come accennato anche nel comunicato stampa
del 13/6/1997.
Al quotidiano “
” si segnala che, nell’articolo dedicato alla vicenda e pubblicato nell’edizione del a pag. , compaiono un insieme di riferimenti (iniziali del nome e del cognome dell’interessata, nome dell’istituto scolastico e classe frequentata) che possono portare con facilità ad una
identificazione del soggetto stesso, specie in considerazione del limitato contesto territoriale di riferimento.
In proposito, il Garante sottolinea l’esigenza di un’attenzione particolare nel trattare le vicende
di cronaca che vedono coinvolti i soggetti minorenni. Come noto, tale principio è affermato con chiarezza dalla “Carta di Treviso” del 4/5 ottobre 1990 nella quale si afferma, fra il resto, che “la tutela
della personalità del minore si estende anche…a fatti che non siano specificamente reati…, in modo
che sia tutelata la specificità del minore come persona in divenire, prevalendo su tutto il suo interesse ad un regolare processo di maturazione che potrebbe essere profondamente disturbato o deviato da
spettacolarizzazioni del suo caso di vita, da clamorosi protagonismi o da fittizie identificazioni”.
63
Trattamento dei dati personali
Al riguardo, poi, vanno ricordate le recenti disposizioni del Codice deontologico dei giornalisti,
di cui si allega copia, (entrato in vigore successivamente ai fatti) e in particolare l’art. 7 che richiama
esplicitamente la suddetta “Carta di Treviso” e pone il diritto alla riservatezza del minore “come primario rispetto al diritto di critica e di cronaca” (comma 3) ed in ogni caso impone di non pubblicare
i nomi dei minori coinvolti in fatti di cronaca, né di fornire particolari in grado di condurre alla loro
identificazione (comma 1).
IL PRESIDENTE
64
Trattamento dei dati personali
Le pubbliche amministrazioni non devono richiedere il consenso degli interessati per poter trattare dati personali, dovendo piuttosto verificare che i singoli trattamenti e le categorie di dati siano riconducibili nella sfera delle proprie finalità istituzionali e siano posti in
essere rispettando gli eventuali limiti previsti dalle normative di riferimento o da disposizioni speciali.
Roma li, 26 luglio 1999
Ufficio Italiano Cambi
Via delle Quattro Fontane, 123
00184 Roma
OGGETTO: anagrafe dei valori mobiliari dell’Ufficio Italiano dei Cambi.
Codesto Ufficio ha chiesto al Garante un parere in merito agli adempimenti da adottare, in ossequio alla legge n. 675/1996, per la raccolta, la comunicazione e la diffusione dei dati relativi alla
c.d. anagrafe indicata in oggetto, che è composta da elementi informativi elaborati per banca, classi
di operazioni e operatori (art. 21, comma 2, D.P.R n. 148/1988).
Al riguardo si precisa che per il trattamento dei dati in questione, non è necessario acquisire né
il consenso degli interessati, né l’autorizzazione del Garante. Deve tenersi presente, infatti, che all’Ufficio Italiano Cambi si applica la particolare disciplina prevista, per i soggetti pubblici, dall’art.
27 della legge n. 675/1996.
Ciò premesso, per ogni opportuno chiarimento si ricorda che:
a) la legge 31 dicembre 1996, n. 675, si applica anche al trattamento di dati concernenti persone giuridiche;
b) la disciplina di riferimento per il trattamento dei dati da parte dei soggetti pubblici consente
di compiere le operazioni di trattamento solo per lo svolgimento delle funzioni istituzionali, nei limiti stabiliti dalla legge e dai regolamenti (art. 27, comma 1, legge n. 675/1996). Le pubbliche amministrazioni non devono quindi richiedere il consenso degli interessati per poter trattare dati personali, dovendo piuttosto verificare che i singoli trattamenti e le categorie di dati siano riconducibili nella sfera delle proprie finalità istituzionali e siano posti in essere rispettando gli eventuali limiti previste dalle normative di riferimento o da disposizioni speciali;
c) la legge n. 675 prevede inoltre una disciplina particolare per le operazioni di comunicazione
e di diffusione dei dati personali da parte dei soggetti pubblici verso soggetti privati o enti pubblici
economici. Tale disciplina esclude, anche in questo caso, la necessità di raccogliere il consenso degli interessati. In base ad essa, le pubbliche amministrazioni devono verificare che la comunicazione
dei dati sia prevista espressamente da una norma di legge o di regolamento (art. 27, comma 3). Tuttavia, la divulgazione di dati ad altri soggetti pubblici è ammessa, in via residuale, anche in assenza
di una puntuale disposizione normativa, quando sia necessaria per svolgere le funzioni istituzionali
delle amministrazioni interessate (in quest’ultimo caso, occorre inviare un’apposita comunicazione al
Garante, una tantum: art. 27, comma 2).
Alla luce di quanto sopra esposto, dal quadro normativo di riferimento si evince come la pubblicazione dei suddetti dati e la loro comunicazione ad alcune amministrazioni trovi fondamento nel
d.P.R. 31 marzo 1988, n. 148 (recante il “Testo unico delle norme in materia valutaria”) che, all’art.
21, attribuisce all’U.I.C. la funzione, poi confermata con il d.lg. 26 agosto 1998, n. 319 (“Riordino
dell’Ufficio Italiano Cambi a norma dell’art. 1, comma 1 della legge 17 dicembre 1997, n. 433”), di
raccogliere ed elaborare le informazioni in materia valutaria a fini conoscitivi e statistici. Il comma 3
dell’art. 21 prevede poi che l’Ufficio proceda alla pubblicazione dei dati, precisando che gli stessi restano comunque coperti dal segreto d’ufficio fino a tale momento. Tale circostanza (fermo restando,
poi, quanto previsto dal medesimo comma 3 riguardo alla comunicazione dei dati ai Ministri del tesoro e del commercio con l’estero e alla Banca d’Italia) permette di ritenere che le informazioni e i
dati possono essere oggetto, dopo la loro pubblicazione, di ampia e tempestiva conoscibilità anche da
65
Trattamento dei dati personali
parte di soggetti privati quali banche e intermediari finanziari, fermo restando il segreto d’ufficio fino al momento della pubblicazione.
Peraltro, tutto ciò non preclude che in armonia con quanto previsto dall’art. 27, comma 3, della
legge n. 675, l’Ufficio stimoli l’emanazione di ulteriori norme, anche di rango secondario, volte a prevedere altre forme di comunicazione a privati o enti pubblici economici sulla base di una individuazione dei dati, delle modalità e delle finalità della stessa, degli ulteriori strumenti previsti all’art. 2,
comma 3 dal decreto legislativo n. 319/1998.
È stato altresì richiesto, relativamente ai trattamenti in esame, di indicare gli adempimenti cui
è tenuto l’U.I.C. ai sensi della normativa sulla protezione dei dati personali.
In proposito si ricorda quanto segue:
– per quanto concerne la notificazione prevista dall’art. 7 della legge n. 675/1996 e il trasferimento di dati all’estero di cui all’art. 28, opera una duplice esenzione prevista per un verso dall’art.
7, comma 5 ter e relativamente ai trattamenti concernenti persone giuridiche, enti o associazioni dall’art. 26 della stessa legge;
– occorre garantire la sicurezza dei trattamenti e dei dati (art. 15, comma 1) e assicurare inoltre il rispetto delle misure minime in materia previste dal d.P.R. recentemente approvato dal Consiglio dei Ministri (art. 15, comma 2). Nel merito l’U.I.C., come ogni altro soggetto pubblico e privato,
che gestisce informazioni personali, deve osservare modalità di conservazione e di controllo dei dati
idonee a ridurre al minimo i rischi di eventuale distruzione o perdita dei dati trattati, nonché l’accesso non autorizzato o un trattamento non conforme alla legge (art. 15, comma 1). Queste modalità comprendono anche l’adozione delle citate “misure minime di sicurezza” che sono state determinate con
il regolamento governativo di prossima pubblicazione (art. 15, comma 2 e 41, comma 3);
– relativamente ai dati raccolti successivamente all’8 maggio 1997 (data di entrata in vigore della legge n. 675), l’Ufficio è tenuto a fornire, oralmente o per iscritto, l’informativa prevista dall’art. 10
ai soggetti ai quali i dati si riferiscono. Relativamente ai dati forniti direttamente dagli interessati
l’informativa deve essere resa in via preventiva, ma può non contenere gli elementi già conosciuti al
soggetto che fornisce i dati (art. 10, comma 1 e 2). Nel caso in cui invece, i dati siano acquisiti presso terzi, non è necessario inviare l’informativa se il trattamento è effettuato in base ad un obbligo previsto da disposizioni di legge (vedi l’art. 10, comma 4, che prevede anche la possibilità di chiedere al
Garante l’esonero o la semplificazione per tale adempimento, che è possibile anche effettuare in forme diverse da quella che presuppone un singolo avviso a ciascun interessato);
– occorre rispettare comunque i requisiti di cui all’art. 9 sulla correttezza delle modalità di trattamento e sulla pertinenza ed esattezza dei dati.
Infine, per quanto riguarda la possibilità di annotare informazioni per quanto riguarda il c.d. rating inerente all’emittente non si ravvisano ostacoli di fondo. Infatti, il citato art. 27, comma 1, consente di trattare i dati personali pertinenti allo svolgimento dei fini istituzionali. Tale disposizione va
applicata in armonia con l’art. 21 del decreto citato che permette di trattare “….informazioni e dati
concernenti la gestione valutaria e le operazioni con l’estero, valutarie e in cambi nelle quali sono a
qualsiasi titolo intervenute”.
Questa Autorità resta, in ogni caso, a disposizione per ogni ulteriore chiarimento e per una eventuale collaborazione al fine della corretta applicazione da parte di codesto Ufficio delle regole introdotte dalla disciplina in materia di dati personali.
IL PRESIDENTE
66
Trattamento dei dati personali
Alcuni dati contenuti nei resoconti ufficiali del Consiglio Universitario Nazionale potrebbero avere natura sensibile (art. 22, comma 1, legge n. 675/1996), laddove siano idonei a rivelare, ad esempio, lo stato di salute degli interessati. Al riguardo si evidenzia che il trattamento di tali dati risulta espressamente autorizzato in quanto il d.lg. n. 135/1999 ha riconosciuto la rilevanza a livello di interesse pubblico delle attività dirette all’applicazione della disciplina in materia di documentazione dell’attività istituzionale di organi pubblici (v. art. 8,
commi 5, lett. a) e 6).
Roma, 2/81999
Prof. Luigi LABRUNA
Presidente del Consiglio Universitario Nazionale
Caro Presidente,
mi riferisco alla Tua richiesta di parere sulla compatibilità con il disposto della legge n.
675/1996 della prassi seguita da alcuni consiglieri dell’Organo collegiale da Te presieduto di elaborare resoconti dei lavori, dichiaratamente non ufficiali e contenenti informazioni che identificano singole persone, fatti circolare poi mediante e-mail e pubblicizzati su alcuni siti Internet.
Dalla copia di uno dei suddetti “resoconti CUN Notizie” qui trasmessi, si evince che essi sono
inviati ad un determinato numero di soggetti mediante e-mail, come comunicazioni personali in relazione alle quali il destinatario può chiedere che il proprio indirizzo sia cancellato dalla lista.
La non ufficialità di tali resoconti è chiaramente evidenziata dal momento che, benché accessibili anche su alcuni siti Internet, negli stessi si raccomanda espressamente, per riferimenti più attendibili, di consultare il sito web del Consiglio Universitario Nazionale (CUN) dove sono accessibili i
documenti e i verbali ufficiali.
Nel caso in esame, pertanto, il trattamento dei dati personali connesso alla comunicazione e alla diffusione del suddetto “resoconto CUN Notizie” rientra nei trattamenti temporanei finalizzati alla
pubblicazione occasionale di articoli, saggi ed altre manifestazioni del pensiero, ai quali si applicano le disposizioni della legge n. 675/1996 sull’attività giornalistica (art. 12, comma 1, lett. e), art. 20,
comma 1, lett. d) e art. 25 legge n. 675/1996).
In tal caso, quindi, si prescinde dal consenso degli interessati e dalla previa autorizzazione del
Garante, fermi restando i limiti al diritto di cronaca posti a tutela della riservatezza e l’osservanza del
codice di deontologia pubblicato sulla Gazzetta Ufficiale del 3 agosto 1998.
Trattandosi di resoconti predisposti sulla base di appunti dei consiglieri che partecipano all’Organo collegiale, non si pone un problema di liceità dell’acquisizione delle fonti, fatta salva l’eventuale specifica segretazione di singole parti delle riunioni di codesto Consiglio.
Queste considerazioni riguardano la richiesta di parere in merito alla elaborazione di resoconti
non ufficiali da parte di alcuni consiglieri.
Per quanto attiene invece al regime di pubblicità delle deliberazioni ufficiali del Consiglio universitario nazionale (CUN), riteniamo opportuno far presente che la legge n. 675/1996 ha introdotto
una disciplina per il trattamento dei dati personali la quale permette alle pubbliche amministrazioni
di comunicare e diffondere i dati personali a soggetti privati solo quando tali operazioni siano previste puntualmente da una norma di legge o di regolamento (art. 27, comma 3).
Dall’esame delle vigenti disposizioni concernenti l’attività del Consiglio (v. art. 25 d.P.R. 1 febbraio 1996, n. 167), non sembrano emergere norme che disciplinano il regime di pubblicità delle relative deliberazioni. Se così fosse, tali aspetti andrebbero disciplinati quantomeno con un atto regolamentare emanato dal Ministro dell’università e della ricerca scientifica e tecnologica, nel quale andrebbero indicati anche l’ambito di diffusione e di comunicazione dei dati contenuti nei suddetti resoconti, e alcune cautele per il rispetto delle altre disposizioni della legge n. 675/1996 che riguardano,
in particolare, la qualità dei dati, l’informativa agli interessati e le misure di sicurezza (artt. 9, 10 e 15).
Una questione analoga si è posta in tema di pubblicità di determinati dati relativi a laureati, dot-
67
Trattamento dei dati personali
tori di ricerca e docenti in ambito universitario, ed ha trovato idonea soluzione con il decreto legislativo 5 giugno 1998, n. 204 (v. art. 6, comma 4; v. anche, da ultimo, il d.P.R. 19 ottobre 1998, n. 390
in tema di reclutamento di professori universitari di ruolo e di ricercatori).
La medesima problematica concernente il regime di conoscibilità dei dati degli studenti ha trovato infine soluzione nello schema di decreto legislativo in materia di trattamento di dati per scopi
storici, statistici e di ricerca scientifica approvato il 29 luglio u.s., in corso di pubblicazione.
Alcuni dati contenuti nei resoconti ufficiali del Consiglio potrebbero avere natura sensibile (art.
22, comma 1, legge n. 675/1996), laddove siano idonei a rivelare, ad esempio, lo stato di salute degli interessati. Al riguardo, riteniamo opportuno evidenziare che il trattamento di tali dati risulta
espressamente autorizzato in quanto il d.lg. n. 135/1999 ha riconosciuto la rilevanza a livello di interesse pubblico delle attività dirette all’applicazione della disciplina in materia di documentazione
dell’attività istituzionale di organi pubblici (v. art. 8, commi 5, lett. a) e 6).
Ai sensi dell’art. 22, comma 3-bis, della legge n. 675/1996, come modificato dall’art. 5, comma
3, del citato d.lg. n. 135, rimangono pertanto da identificare, secondo i princìpi stabiliti agli artt. 2, 3
e 4 dello stesso decreto n. 135, i tipi di dati e le operazioni strettamente necessari e pertinenti in relazione alle specifiche attività svolte dal Consiglio universitario nazionale.
Tale ricognizione potrebbe essere effettuata in un provvedimento regolamentare il cui iter di approvazione dovrebbe essere comunque avviato dal Ministro della ricerca scientifica e tecnologica entro il 31 dicembre di quest’anno (l’Ufficio del Garante resta a disposizione per fornire ogni chiarimento o collaborazione utile in proposito).
IL PRESIDENTE
68
Trattamento dei dati personali
Nello svolgimento dei trattamenti di dati personali, devono essere rispettati i principi previsti dalla legge n. 675, in particolare per quanto riguarda gli obblighi concernenti l’informativa all’interessato (art. 10), le misure di sicurezza (art. 15) (ora individuate dal decreto del
Presidente della Repubblica 28 luglio 1999, n. 318, in Gazzetta Ufficiale del 14 settembre
1999, n. 216 e anche in fondo a questo bollettino) il principio di “pertinenza” (in base al quale possono essere trattati solo i dati pertinenti e non eccedenti rispetto alla finalità perseguite)
nonché gli altri requisiti di legittimità dei trattamenti (art. 9).
Roma, 15/7/1999
Consiglio della Provincia autonoma di Trento
Servizio organi collegiali
via Manci 27
Trento
OGGETTO: attività consiliare. Nomine e designazioni di componenti di organismi. Compatibilità con la legge n. 675/1996.
Con riferimento alla richiesta di chiarimenti in ordine all’applicabilità della legge n. 675/1996
ai provvedimenti di competenza di codesto ente, riguardanti la nomina o la designazione di componenti di altri organismi, si rappresenta quanto segue in aggiunta alle delucidazioni già fornite dal funzionario di questo ufficio che ha partecipato all’apposito incontro organizzato a Trento nel decorso mese di aprile.
In base alle leggi di codesta Provincia autonoma, alcune nomine o designazioni competono direttamente al Consiglio (es: art. 3, l.p. n. 35/93), mentre altre riguardano, invece, persone indicate da
singoli consiglieri o da gruppi consiliari.
Nel primo caso, i dati personali trattati ai fini della nomina sembrano per lo più di natura “comune” (generalità dei candidati, eventuale posizione di lavoro).
Nelle altre ipotesi, invece, la circostanza che l’indicazione dei nominativi sia effettuata dai singoli consiglieri o da gruppi consiliari di minoranza sembra far ritenere che si tratti anche di dati “sensibili” (art. 22 della legge n. 675), idonei a rivelare le “opinioni politiche” dell’interessato, potendosi presumere che i soggetti “indicati” appartengano, più o meno direttamente, all’”area” politica del
consigliere o del gruppo proponente.
Al riguardo, si osserva preliminarmente che, in ogni caso, è legittimo il trattamento di tali dati
da parte di codesto ente, alla stregua dell’articolo 27 della legge n. 675 nonché, per quanto riguarda
i dati sensibili, dell’articolo 22 della medesima legge applicato congiuntamente alla disciplina integrativa introdotta dal d. lg. 11 maggio 1999, n. 135 (v., in particolare, l’articolo 8, comma 3, lett. e,
del medesimo decreto).
Peraltro, va segnalato che nello svolgimento dei trattamenti, devono essere rispettati i principi
previsti dalla legge n. 675, in particolare per quanto riguarda gli obblighi concernenti l’informativa
all’interessato (art. 10), le misure di sicurezza (art. 15), il principio di “pertinenza” (in base al quale
possono essere trattati solo i dati pertinenti e non eccedenti rispetto alla finalità perseguite) nonché
gli altri requisiti di legittimità dei trattamenti (art. 9).
Per quanto riguarda, in particolare, l’informativa da rendere all’interessato, si richiama l’attenzione sulla circostanza che le proposte dei consiglieri o dei gruppi consiliari si inseriscono in un procedimento amministrativo unitario, caratterizzato da un’unica finalità e culminante nella delibera di
nomina o di designazione del Consiglio, sicché è da ritenere che l’obbligo di cui al citato articolo 10
debba gravare, anche in tali casi, sull’intero organo consiliare, “per conto” del quale i singoli consiglieri agiscono.
Circa le modalità con cui adempiere a tale obbligo, si suggerisce la predisposizione di una formula chiara e sintetica che potrà essere, a seconda dei casi, inserita nella modulistica in uso per la
69
Trattamento dei dati personali
raccolta delle “candidature” e consegnata all’interessato dal singolo consigliere all’atto dell’acquisizione del necessario curriculum, ovvero resa nota in altro modo direttamente dal Consiglio all’atto del
vaglio delle candidature. Tale informativa, dovrà recare, in particolare, l’indicazione delle finalità per
le quali i dati sono raccolti, dell’esatta ubicazione dell’archivio in cui i dati stessi saranno conservati e del responsabile, al fine di rendere più agevole l’esercizio dei diritti previsti dall’articolo 13 della legge n. 675.
Quanto agli obblighi previsti dal richiamato articolo 9 della legge n. 675, si sottolinea la necessità che i dati relativi a soggetti la cui proposta non sia seguita da una effettiva nomina o designazione, siano cancellati non appena terminate le operazioni di vaglio delle candidature, e quelli dei soggetti effettivamente nominati o designati siano conservati nello specifico archivio con le cautele necessarie ad assicurarne la sicurezza, anche logistica, e per il tempo strettamente necessario al raggiungimento delle finalità previste dalla legge o dal regolamento applicati.
IL PRESIDENTE
70
Trattamento dei dati personali
Il decreto legislativo n. 135/1999 non ha contraddetto i principi introdotti dalla legge n.
675/1996 per i trattamenti di dati sensibili effettuati da soggetti pubblici. L’articolo 22, comma 3, della legge, infatti, è rimasto sostanzialmente immutato nella parte in cui richiede che
i cennati trattamenti siano autorizzati da un’espressa norma di legge nella quale siano indicate le rilevanti finalità di interesse pubblico perseguite, i tipi di dati che possono essere trattati e le operazioni eseguibili.
Roma, 9 giugno 1999
Sottocommissione circondariale
elettorale
piazza Marconi 7
26015 Soresina (Cremona)
OGGETTO: decreto legislativo n. 135/1999 sui trattamenti di dati particolari da
parte di soggetti pubblici. Rilascio elenco sottoscrittori di lista elettorale – Richiesta parere.
È stato richiesto se, ai sensi dell’articolo 8, comma 4, del recente decreto legislativo 11 maggio
1999, n. 135, sui trattamenti di dati particolari da parte di soggetti pubblici, sia consentito il rilascio
dell’elenco dei sottoscrittori di una lista elettorale e, eventualmente, a quali condizioni.
Al riguardo si rappresenta che tale rilascio appare legittimo nei limiti di seguito precisati.
Il decreto legislativo n. 135/1999 non ha contraddetto i principi introdotti dalla legge n.
675/1996 per i trattamenti di dati sensibili effettuati da soggetti pubblici. L’articolo 22, comma 3, della legge, infatti, è rimasto sostanzialmente immutato nella parte in cui richiede che i cennati trattamenti siano autorizzati da un’espressa norma di legge nella quale siano indicati le rilevanti finalità di
interesse pubblico perseguite, i tipi di dati che possono essere trattati e le operazioni eseguibili.
In particolare, l’articolo 8, comma 4, del decreto legislativo non amplia, di per sé, la gamma delle operazioni eseguibili rispetto alla normativa di settore, in quanto, a norma dei commi 1 e 3 del medesimo articolo, nell’ambito delle attività in materia di elettorato e altri diritti politici sono consentiti solo i trattamenti finalizzati all’esecuzione di specifici compiti previsti da leggi o regolamenti.
Tuttavia deve ritenersi che fra tali compiti possa essere ricompresa la comunicazione a soggetti
determinati dei dati e delle informazioni in possesso delle amministrazioni pubbliche ai sensi della
normativa sul diritto di accesso, nei limiti e alle condizioni ivi previsti (art. 22 della legge n.
241/1990; cfr. il provvedimento del Garante in allegato). Una conferma viene dall’articolo 16 del medesimo d.lg. n. 135, che al comma 1 lett. c) si riferisce appunto all’applicazione della disciplina sull’accesso ai documenti amministrativi.
Va sottolineato, inoltre, che i trattamenti in questione devono essere effettuati nel rispetto dei
principi fissati dalla legge n. 675/1996 e dallo stesso decreto legislativo n. 135/1999, e, in particolare, di quelli di pertinenza e di essenzialità dei dati trattati e del rispetto della finalità perseguita (art.
9 della legge n. 675 e artt. 1-4, d. lgs n. 135). In tal senso appare legittimo il rilascio dell’elenco esclusivamente a soggetti che intendano servirsene per l’esercizio dei diritti politici, come nel caso che la
richiesta pervenga da candidati appartenenti a liste concorrenti. (ipotesi ricorrente, a detta di codesta Sottocommisione).
Un chiarimento sulla portata oggettiva dei trattamenti consentiti potrebbe, infine, essere apportato dalla pubblica amministrazione competente in sede di adozione dell’atto regolamentare previsto
dal comma 3-bis del novellato articolo 22 della legge n. 675, con il quale le amministrazioni dovranno procedere all’identificazione e alla pubblicità dei tipi di dati e delle operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite.
IL PRESIDENTE
71
Trattamento dei dati personali
Gli albi dei liberi professionisti sono ispirati per loro stessa natura e funzione ad un regime di piena pubblicità, anche in funzione della tutela dei diritti di coloro che a vario titolo hanno rapporti con gli iscritti all’albo, pubblicità che, in linea di principio, riguarda anche i provvedimenti che implicano modifiche allo status di iscritto all’albo quale quello di sospensione
dall’esercizio della professione.
Roma li, 16/6/1999
Collegio dei geometri della
Provincia di Vicenza
Contrà San Marco, 10
36100 Vicenza
OGGETTO: regime di pubblicità dei provvedimenti di sospensione dall’esercizio
della professione di geometra.
Codesto Collegio ha chiesto di conoscere se i provvedimenti di sospensione dall’esercizio della
professione di geometra possano essere comunicati ad un ampia categoria di soggetti che hanno frequenti contatti con tali professionisti.
Su analoghe questioni il Garante ha già avuto modo di esprimersi in risposta a vari quesiti, chiarendo che la legge n. 675 non ha modificato la disciplina legislativa relativa al regime di pubblicità
degli albi e alla conoscibilità degli atti ad essi connessi (cfr. gli artt.12, comma 1, lett. c); 20, comma
1, lett. b); 28, comma 4, lett. f) e 43, comma 2, della legge n. 675/1996).
Il r.d. 11 febbraio 1929 n. 274, recante il “regolamento per la professione di geometra” individua, all’art. 8 i soggetti cui devono essere comunicati l’albo ed i provvedimenti di sospensione dall’esercizio della professione: cancellerie delle corti d’appello e dei tribunali della circoscrizione cui
l’albo si riferisce; pubblici ministeri presso le medesime autorità giudiziarie; camere di commercio e
segreteria del consiglio nazionale dei geometri. Non è prevista, invece, la comunicazione in favore di
altri soggetti, né la diffusione.
Il Garante ha già osservato che tale r.d., in analogia ad altri albi relativi a liberi professionisti,
pur non disciplinando espressamente né le forme di consultazione dell’albo presso l’Ordine, né l’invio di copie ad altri soggetti pubblici o privati, rende già possibile una diffusa conoscibilità dell’albo
presso le amministrazioni destinatarie.
Gli albi dei liberi professionisti sono ispirati per loro stessa natura e funzione ad un regime di
piena pubblicità, anche in funzione della tutela dei diritti di coloro che a vario titolo hanno rapporti
con gli iscritti all’albo, pubblicità che, in linea di principio, riguarda anche i provvedimenti che implicano modifiche allo status di iscritto all’albo quale quello di sospensione dall’esercizio della professione.
In questo quadro, pur non essendo configurabile un dovere del Collegio di dare comunicazione
dei provvedimenti di sospensione a soggetti diversi da quelli indicati nel citato art. 8, è però possibile comunicare i medesimi provvedimenti ad altri soggetti pubblici, sempreché ciò risulti necessario
per svolgere precise funzioni istituzionali di almeno una delle amministrazioni interessate (Collegio
o ente ricevente).
Ciò in ragione del combinato disposto dell’art. 8 e dell’art. 27, comma 2, della legge n. 675, che
permette ad un soggetto pubblico di comunicare dati ad altre amministrazioni pubbliche anche quando (come nel caso di specie) manchi una previsione di legge o di regolamento che lo autorizzi, sempreché la comunicazione risulti necessaria per lo svolgimento delle predette funzioni e si effettui una
comunicazione al Garante.
72
Trattamento dei dati personali
Non è, invece, possibile diffondere i medesimi dati a soggetti privati in assenza di una precisa
previsione normativa (art. 27, comma 3, legge n. 675) quale è, però, quella che garantisce l’accesso
ai documenti amministrativi ai soggetti titolari di un interesse per la tutela di situazioni giuridicamente rilevanti (art. 22 legge n. 241/1990).
Il Garante resta a disposizione per ogni ulteriore chiarimento.
IL PRESIDENTE
73
Trattamento dei dati personali
Nel dichiarare inammissibile un ricorso, questa Autorità ha instaurato un distinto procedimento, ai sensi dell’art. 31, comma 1, lettera d), della legge n. 675, invitando il titolare del
trattamento a far pervenire, ogni utile elemento di valutazione “in ordine al trattamento di dati personali”.
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti e del
dottor Giovanni Buttarelli, segretario generale;
VISTO il provvedimento del Garante in data 7 giugno 1999 con il quale, nel dichiarare inammissibile il ricorso presentato, ai sensi dell’art. 29 della legge n. 675, dai ricorrenti, è stato instaurato un distinto procedimento, ai sensi dell’art. 31, comma 1, lettera d), della legge n. 675, per la valutazione di quanto rappresentato dai citati ricorrenti;
VISTE le segnalazioni pervenute da alcuni cittadini ed in particolare dal rappresentante del
“coordinamento genitori nido, materne, elementari, medie della città di …..”;
VISTA la documentazione in atti;
VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi dell’art. 7, comma
2, lettera a), del d.P.R. 31 marzo 1998, n. 501;
RELATORE L’ING. CLAUDIO MANGANELLI;
PREMESSO
1. Il Garante per la protezione dei dati personali, con nota in data ….., ha trasmesso al Comune di ….., i, in qualità di titolare del trattamento, la decisione adottata il 7 giugno 1999 in merito al
ricorso ex art. 29 presentato nei confronti del citato Comune dai ricorrenti. Nel dichiarare inammissibile il ricorso in questione, questa Autorità ha però instaurato un distinto procedimento, ai sensi dell’art. 31, comma 1, lettera d), della legge n. 675, invitando il Comune di …. a far pervenire, entro il
…., ogni utile elemento di valutazione “in ordine al trattamento di dati personali connesso alla distribuzione del questionario rivolto agli utenti degli asili nido della città …., con particolare riferimento agli obblighi normativi posti a fondamento dell’iniziativa, all’adempimento degli obblighi di
informativa nei confronti dei soggetti interessati, alle modalità di trattamento e conservazione dei dati e alle misure di sicurezza adottate”.
Il Comune, con nota in data … ha fornito le indicazioni richieste precisando in particolare che:
– con deliberazione del ….. il Comune ha approvato una bozza di convenzione con il Consorzio
per il sistema informativo per la gestione e lo sviluppo del sistema informativo comunale e che il medesimo, con atto sindacale in data …, è stato individuato come “responsabile” del trattamento ai sensi dell’art. 8 della legge n. 675/1996;
– il Consiglio Comunale con deliberazione in data …... ha approvato un apposito regolamento
sul trattamento dei dati personali;
– con deliberazione del …..il Consiglio Comunale ha approvato “gli indirizzi per l’esercizio
1999 in tema di tributi locali, tariffe, rette, canoni ed altre materie simili”. Più specificamente con tale atto si è stabilito che “in applicazione del decreto legislativo n. 109/1998, la città di ….intende applicare ai redditi dei nuclei familiari dei bambini frequentanti gli asilo nido gestiti dall’amministrazione comunale l’indicatore della situazione economica (ISE). A tal fine i genitori che intendono reiscrivere il proprio figlio negli asili nido per l’anno scolastico 1999/2000 nonché coloro che presentano domanda per la prima volta, dovranno presentare una specifica richiesta compilando il modulo per
l’autocertificazione dei redditi e della situazione patrimoniale predisposto dall’Amministrazione. La
compilazione del predetto modulo consentirà l’inserimento nelle fasce tariffarie agevolate, mentre la
non compilazione comporterà l’automatico inserimento nella tariffa massima non inferiore all’80%
del costo”.
74
Trattamento dei dati personali
TUTTO CIÒ PREMESSO, IL GARANTE OSSERVA:
2. Va prima di tutto osservato che i dati raccolti sulla base del citato questionario distribuito dalla Divisione …..del Comune di …sono da considerarsi come “dati personali” e pertanto soggetti all’applicazione della legge n. 675/1996. Fra di essi i dati relativi alla presenza nel nucleo familiare di
soggetti con invalidità civile superiore al 66% o con handicap psicofisico permanente hanno poi natura di “dati sensibili”, ai sensi dell’art. 22 della medesima legge.
Poiché i dati in questione sono trattati da un soggetto pubblico (Comune di ….), le norme applicabili a tale trattamento di dati si rinvengono nell’art. 27 della citata legge n. 675, che consente tale trattamento “soltanto per lo svolgimento delle funzioni istituzionali nei limiti stabiliti dalla legge e
dai regolamenti”.
Alla luce di tale disposizione, il trattamento effettuato dal Comune in relazione ai dati contenuti nei questionari compilati dai genitori che intendono usufruire degli asili nido comunali deve considerarsi legittimo, in quanto normativamente previsto dal citato decreto legislativo 31 marzo 1998 n.
109, contenente “definizioni di criteri unificati di valutazione della situazione economica dei soggetti che richiedono prestazioni sociali agevolate, a norma dell’articolo 59, comma 51, della legge 27 dicembre 1997, n. 449”.
Rispetto a tale disposizione di legge la deliberazione del Consiglio Comunale del … …. … e gli
ulteriori provvedimenti adottati dai competenti servizi del Comune si pongono come necessari provvedimenti attuativi della citata disposizione normativa.
Per quanto attiene poi ai dati sensibili, la normativa di riferimento nel periodo in questione era
costituita dall’art. 22, comma 3 della legge n. 675, in connessione con la disposizione transitoria di
cui all’art. 41, comma 5, che prevedeva la possibilità per i soggetti pubblici di continuare a trattare
dati sensibili fino alla data dell’8 maggio 1999 anche in assenza di disposizioni di legge analitiche
quali quelle di cui al citato art. 22, comma 3 della legge n. 675, previa comunicazione al Garante.
Il Comune di ... poteva quindi proseguire la trattazione anche di tali dati che già costituivano
oggetto di trattamento ed elaborazione da parte degli archivi e delle banche dati comunali.
A far data dal 18 maggio 1999 il trattamento dei dati sensibili da parte dei soggetti pubblici è
peraltro disciplinato dal decreto legislativo 11 maggio 1999 n. 135. In particolare l’art. 13, comma 3,
di tale decreto considera di rilevante interesse pubblico la attività connesse “al riconoscimento di
esoneri, agevolazioni o riduzioni tariffarie o economiche…”
Si richiama peraltro l’attenzione del Comune sulla necessità di conformare il trattamento di tali dati ai principi generali contenuti negli artt. 1 – 5 del decreto in questione ed in particolare alla necessità sancita dall’art. 22, comma 3 bis della legge n. 675 (introdotto dall’art. 5 del d.lg. n.
135/1999) di identificare e rendere pubblici, con apposito provvedimento di tipo regolamentare adottato dai competenti organi del Comune, “i tipi di dati e di operazioni strettamente pertinenti e necessari…” in relazione a quei trattamenti di cui già il medesimo decreto (come nel caso del citato art.
13) riconosce la finalità di rilevante interesse pubblico.
Si rammenta inoltre che, come già nel ricordato periodo transitorio, così anche in vigenza del
nuovo decreto, il trattamento dei dati sia comuni sia sensibili da parte di un soggetto pubblico non è
condizionato all’espressione del consenso da parte del soggetto interessato.
Va poi ricordato che, al di là delle disposizioni di cui agli artt. 22 e 27, il Comune, nel trattare
i dati relativi ai questionari in oggetto, deve rispettare le altre disposizioni della legge n. 675 che riguardano in particolare la qualità dei dati, la loro pertinenza, l’informativa agli interessati e le misure di sicurezza (artt. 9, 10 e 15 della legge n. 675).
Al riguardo va esaminata più specificamente l’informativa fornita agli utenti e riportata sui questionari proposti.
Tale informativa è in effetti incompleta ed eccessivamente sintetica, non comprendendo molti
degli elementi richiesti dall’art. 10 della legge.
Limitatamente a tale aspetto, le segnalazioni pervenute devono quindi essere considerate fondate.
Non compare infatti l’indicazione delle modalità del trattamento dei dati, né un chiaro riferimento alla natura obbligatoria o facoltativa del loro conferimento, mentre l’indicazione delle conseguenze di un’eventuale mancata compilazione del questionario è riportata invece nella lettera di ac-
75
Trattamento dei dati personali
compagnamento firmata dall’assessore competente e dal direttore dei servizi educativi, lettera che
però non richiama la normativa sulla protezione dei dati personali e fornisce solo alcune informazioni di carattere generale non raccordate con l’informativa sintetica poi riportata all’interno del questionario.
Non viene poi precisato nell’informativa (né chiarimenti in merito emergono nella nota inviata
dal Comune in data …..) a quali soggetti i dati vengano eventualmente comunicati, né vengono forniti gli elementi identificativi degli eventuali soggetti responsabili, anche se l’atto di nomina a responsabile del Consorzio per il sistema informativo (di cui è stata inviata copia) fa presumere che lo
stesso effettui operazioni di trattamento anche sui dati in questione.
Non vi è cenno infine alla possibilità di esercizio da parte degli interessati (genitori dei bambini) dei diritti di cui all’art. 13 della legge n. 675.
Alla luce delle succitate considerazioni, si invita quindi il Comune di ….. a rivedere, in occasione di nuove operazioni di raccolta e trattamento di dati analoghi, la modulistica in questione, fornendo agli interessati i richiesti elementi di conoscenza indispensabili per comprendere e ricostruire l’iter dei propri dati personali.
Inoltre, con riferimento ai dati già raccolti in occasione delle procedure per la definizione delle
fasce tariffarie per l’anno 1999/2000, si invita il Comune a completare l’informativa fornita, attraverso l’indicazione, con idonee forme di pubblicità (affissione di manifesti, comunicati stampa…), degli
elementi dell’informativa omessi e individuando, altresì, appositi uffici dell’amministrazione comunale dove potranno essere assunte più dettagliate informazioni in merito o presentate le istanze di accesso ai dati ai sensi dell’art. 13 della legge n. 675.
Con specifico riguardo ai dati sensibili si rammenta poi che l’art. 2, comma 1, del recente decreto legislativo n. 135 impone ai soggetti pubblici, nell’informare gli interessati ai sensi dell’articolo 10 della legge, di fare “espresso riferimento alla normativa che prevede gli obblighi o i compiti in
base alla quale è effettuato il trattamento”.
Si ricorda infine che, al di là della nomina di determinati soggetti a responsabili del trattamento (ai sensi dell’art. 8), tutti i dipendenti del Comune che vengono in contatto con i questionari ed i
dati in essi contenuti devono essere individuati come “incaricati”, con apposito atto scritto, volto a
specificare le funzioni ed i compiti ad essi attribuiti, anche al fine di evitare usi impropri ed accessi
non autorizzati.
Copia della presente decisione sarà inviata, oltre che al Comune di …, ai ricorrenti che già avevano presentato un ricorso in merito, oltre che a tutti coloro che hanno fatto pervenire a questa Autorità segnalazioni in proposito.
Roma, lì 9 settembre 1999
IL PRESIDENTE
IL RELATORE
IL SEGRETARIO GENERALE
76
Trattamento dei dati personali
— Dati sensibili
— AIDS
Occorre rilevare che la trasmissione del giudizio diagnostico relativo all’accertamento
dell’infezione da HIV al tribunale per i minorenni – nel caso di adozione - non appare conforme al preciso dettato normativo della legge n. 135 che impone il mantenimento di un rigoroso rispetto della riservatezza delle persone affette da AIDS.
Roma, 15 luglio 1999
Regione Lazio
Assessorato salvaguardia
e cura della salute
Via R. Raimondi Garibaldi, 7
OO145 Roma
OGGETTO: comunicazione al tribunale per i minorenni dei dati relativi alla sieropositività degli aspiranti genitori adottivi.
Con la nota indicata a margine si chiede il parere di questa Autorità in ordine alla procedura secondo la quale i medici delle aziende sanitarie locali incaricate dal tribunale per i minorenni di sottoporre ad indagini sanitarie le persone che hanno presentato domanda di adozione riportano nella relazione medica conclusiva i risultati di tutti gli esami clinici effettuati, compresa l’eventuale diagnosi di infezione da HIV.
Le disposizioni della legge 4 maggio 1983, n. 184, in materia di adozione e affidamento dei minori, recentemente modificata dalla legge 31 dicembre 1998, n. 476 sull’adozione di minori stranieri, prevedono che il tribunale per i minorenni, allo scopo di acquisire elementi di valutazione utili al
giudizio di idoneità all’adozione - e a condizione che sussistano alcuni requisiti minimi stabiliti dalla legge - disponga l’esecuzione di indagini sullo stato di salute degli aspiranti genitori adottivi “avvalendosi per quanto di competenza delle aziende sanitarie locali e ospedaliere” (art. 29 bis, comma
4, l. n. 476/1998; art. 22, commi 3 e 4, l. n. 184/1983).
Sulla base di una relazione medica completa di tutti gli elementi acquisiti, che le aziende sanitarie locali sono tenute a trasmettere al tribunale dei minorenni, quest’ultimo dispone l’affidamento
preadottivo (ovvero pronuncia il decreto di idoneità ad adottare – l. 476/1998).
In relazione alla legittimità di tale procedura, che comporterebbe anche la comunicazione al tribunale della diagnosi di infezione da HIV, occorre osservare che la normativa in materia di protezione dei dati personali persegue finalità analoghe a quelle di alcune disposizioni della legge 5 giugno
1990, n. 135 in materia di AIDS. La legge n. 675/1996, infatti, non ha abrogato le disposizioni contenute nella legge n. 135 e ne ha piuttosto confermato la vigenza sempreché siano con essa compatibili (art. 43, comma 2).
Deve ritenersi tuttora operante, quindi, l’obbligo per “gli operatori sanitari che, nell’esercizio
della loro professione, vengano a conoscenza di un caso di AIDS, ovvero di un caso di HIV” di “adottare tutte le misure occorrenti per la tutela della riservatezza” e di comunicare i risultati degli accertamenti diagnostici, diretti o indiretti, “esclusivamente alla persona cui tali esami sono riferiti” (art. 5,
commi 1 e 4, legge n. 135/1990).
Alla luce di questo quadro normativo e premessa l’ulteriore garanzia secondo cui “nessuno
può essere sottoposto, senza consenso, ad analisi tendenti ad accertare l’infezione da HIV, salvo che
per motivi di necessità clinica e nel proprio interesse” (art. 5, comma 3, legge n. 135/1990), occorre rilevare che la trasmissione del giudizio diagnostico relativo all’accertamento dell’infezione da
HIV al tribunale per i minorenni non appare conforme al preciso dettato normativo della legge n.
77
Trattamento dei dati personali
135 che impone il mantenimento di un rigoroso rispetto della riservatezza delle persone affette da
AIDS.
L’indubbia rilevanza della questione prospettata, tuttavia, pone l’esigenza di considerare quali
misure possano essere adottate per assicurare il regolare svolgimento delle procedure necessarie alle adozioni e, al tempo stesso, la salvaguardia della dignità delle persone interessate.
La normativa in materia di adozioni, pur prevedendo l’acquisizione di elementi sulla situazione
sanitaria degli aspiranti genitori adottivi, non precisa nel dettaglio le indagini cliniche cui sottoporre
i medesimi e fa riferimento, piuttosto, ad una relazione medica di ordine generale che concorre a formare il complesso di elementi su cui il giudice fonda le proprie valutazioni.
Tenuto conto della rigorosa normativa in materia di AIDS, il medico del servizio di medicina legale che compia i dovuti accertamenti (tra cui quello per l’infezione HIV, sulla base del consenso
scritto degli interessati), può comunicare il risultato diagnostico direttamente ed esclusivamente all’interessato e trasmettere invece al tribunale una relazione medica da cui si evinca un giudizio complessivo circa la sussistenza di eventuali condizioni di rischio o patologiche che possono minacciare
l’interesse del minore.
In senso analogo il Garante è intervenuto con un provvedimento di cui si allega copia, adottato
a tutela del diritto di una dipendente pubblica che aveva chiesto di inibire ad una commissione medica che aveva accertato la sua inidoneità fisica all’impiego, di comunicare la diagnosi di HIV al proprio ufficio di appartenenza.
Qualora questa soluzione non potesse essere accolta in quanto il tribunale dei minorenni, in
virtù di specifici vincoli derivanti da accordi internazionali ratificati con legge, avesse la necessità di
acquisire il risultato dell’accertamento dell’AIDS o dell’infezione HIV, occorrerebbe allora valutare
se il divieto di comunicazione a terzi contenuto nella legge n. 135/1990 possa essere superato con il
consenso espresso degli interessati.
In proposito, appare più coerente con la ratio della normativa in materia di AIDS - che mira ad
operare una selezione dei flussi di circolazione al fine di ridurre il rischio di discriminazione degli interessati - una prassi secondo la quale ciascuno dei coniugi, informato dal medico in ordine alla proprie condizioni di salute, provveda personalmente a produrre la documentazione al tribunale dei minorenni. Ciò garantirebbe all’interessato la libertà di decidere se rimettere il giudizio diagnostico di
AIDS al giudice che è tenuto a valutare l’idoneità all’adozione, ovvero se ritirare la domanda evitando così l’ulteriore corso del procedimento.
Si tratta di una prassi fondata sulla specialità degli interessi posti a base della normativa sull’adozione.
Tale prassi, pur non ostacolando in nessun modo lo svolgimento dei procedimenti per le adozioni, realizzerebbe un adeguato bilanciamento tra l’interesse dei minori “ad un ambiente familiare stabile ed armonioso, nel quale essi possano crescere sviluppando la loro personalità in un sano ed equilibrato contesto di vita, affettivo ed educativo” (Corte Cost. 24 luglio 1995, n. 361) e il diritto degli
adottanti al rispetto della propria dignità e riservatezza.
Si ricorda infine che il trattamento dei dati relativi alla salute, che deve svolgersi nel rispetto
della disciplina in materia di protezione dei dati personali, è disciplinato dagli artt. 22 e 23 della legge n. 675/1996.
In particolare si richiama l’attenzione sulla necessità che gli organismi sanitari che trattano dati idonei a rivelare lo stato di salute rispettino i princìpi di correttezza e di pertinenza sanciti dall’art.
9 della legge n. 675 e adottino tutte le previste cautele a tutela della riservatezza degli interessati, in
armonia con l’art. 15 della legge n. 675 e degli artt. 3, commi 4 e 5, e 17 del decreto legislativo 11
maggio 1999, n. 135.
Il rispetto di questi princìpi deve essere poi ancor più accurato quando si trattano informazioni
per le quali l’ordinamento prevede un particolare regime di tutela, quali, appunto, quelle relative all’AIDS o all’infezione HIV, dalla cui circolazione può derivare un grave pregiudizio per la vita privata e la dignità personale degli interessati.
IL PRESIDENTE
78
COMUNICATI STAMPA
Comunicati stampa
COMUNICATO N. 1
Rilevazioni delle presenze sul posto di lavoro e diritto di accesso ai dati
Anche le rilevazioni effettuate mediante “badge” magnetico e conservate in un archivio informatico costituiscono dati personali e possono essere oggetto di una richiesta di accesso.
È quanto ha affermato il Garante nella decisione con la quale ha accolto il ricorso di un dipendente di un ente pubblico che aveva presentato alla propria amministrazione, senza ottenere soddisfazione, la richiesta di avere il riepilogo dei dati riferiti alle proprie presenze presso un istituto di
ricerca, ai cui accessi era stata appunto installata da alcuni mesi un’apparecchiatura di rilevamento
magnetico.
L’amministrazione aveva in un primo momento negato l’accesso ai dati adducendo motivi tecnici che poi, nel corso dell’istruttoria, si sono rivelati insussistenti.
Il Garante ha affermato che la legge n. 675 del 1996 obbliga il gestore della banca dati a fornire senza ritardo un compiuto riscontro alla richiesta di accesso presentata dall’interessato e mettere
a disposizione i dati: nel caso specifico, quelli riguardanti l’entrata e l’uscita rilevati tramite badge
magnetico, che l’interessato ha diritto di conoscere.
Va ricordato che per la legge n. 675, il concetto di dato personale è particolarmente ampio e
comprende qualunque informazione che può scaturire da dati alfanumerici, immagini, suoni a prescindere dal supporto che contiene i dati (carta, dischetto) e dalla forma in cui essi sono trattati (informazioni cifrate, digitali ecc.). Anche le registrazioni informatiche degli accessi sono, pertanto, da
considerarsi dati personali.
4 giugno 1999
COMUNICATO N. 2
Non è possibile far cancellare i dati conservati dagli uffici giudiziari
Non è possibile far cancellare i dati conservati dagli uffici giudiziari per ragioni di archivio e
documentazione.
Il Garante ha ritenuto inammissibile il ricorso di una persona che si era lamentata del fatto che
il Ministero di grazia e giustizia ed il Tribunale della sua città continuerebbero a detenere alcuni suoi
dati personali relativi ad una vicenda giudiziaria conclusasi nel 1994 con un provvedimento di archiviazione. Secondo il ricorrente la conservazione di tali dati presso il registro generale della cancelleria del Tribunale comporterebbe alcune conseguenze negative specialmente per quanto concerne
lo svolgimento di svariate pratiche amministrative, nei concorsi pubblici e per il rilascio di documenti.
L’interessato aveva inoltrato una richiesta al Ministero, al Procuratore della Repubblica presso
il Tribunale e al CED del Dipartimento di pubblica sicurezza, ma poiché aveva ricevuto riscontro positivo solo da quest’ultimo, si era rivolto al Garante affinché provvedesse a far cancellare i dati, riguardanti sia l’iscrizione del reato nel casellario giudiziale e sia la conseguente archiviazione,
contenuti negli archivi del Tribunale.
Il Garante ha innanzitutto osservato che, a parte l’esattezza o meno dell’individuazione del Ministero di grazia e giustizia quale titolare del trattamento dei dati che nell’ambito di un ufficio giudiziario sono connessi ai procedimenti penali, l’utilizzo delle informazioni al quale si riferisce il ricorso
rientra tra quelli effettuati per ragioni di giustizia dagli uffici giudiziari.
Per questo tipo di trattamenti l’art. 4 della legge n. 675 del 1996 ha reso applicabili solo alcune disposizioni, in attesa che, entro il 31 luglio 1999, il Governo emani il previsto decreto legislativo
con alcune norme integrative in materia. Fra le norme attualmente applicabili ai trattamenti di dati
per fini di giustizia non sono comprese né quelle riguardanti i diritti di accesso alle banche dati, in-
81
Comunicati stampa
tegrazione, rettifica e cancellazione dei dati (art. 13) né quelle in materia di ricorsi al Garante (art.
29).In caso di violazione di queste norme è quindi possibile inviare all’Autorità una segnalazione o
un reclamo ma non è possibile proporre un ricorso.
Diverso il caso del CED del Dipartimento di P.S., al quale l’interessato può accedere direttamente, e del casellario giudiziale per il quali l’accesso è regolato da procedure specifiche.
L’Autorità ha sottolineato che va operata una netta distinzione tra i dati e le informazioni inserite negli archivi del CED del Dipartimento di P.S e la mera conservazione di dati ed atti presso un ufficio giudiziario per ragioni di archivio o di documentazione dei procedimenti esauritisi.
Nel CED e nel casellario giudiziale la posizione del ricorrente risulta opportunamente aggiornata perché, a seguito dell’archiviazione del reato, a carico dell’interessato non risulta più nulla.
Diverso il caso degli uffici giudiziari, dove per ragioni di archivio e documentazione deve rimanere traccia storica dei procedimenti. Tale permanenza non comporta affatto conseguenze pratiche negative per i concorsi pubblici e per il rilascio di documenti, come asserito dal ricorrente, perché è la
posizione nel casellario che, in determinati casi, può essere richiesta in occasione di concorsi, colloqui di assunzione ecc.
7 giugno 1999
COMUNICATO N. 3
Accesso alle banche dati e spese per i ricorsi al Garante
Quando non vengono soddisfatte con tempestività le legittime richieste di un cittadino che vuol
far valere i diritti tutelati dalla legge sulla privacy ed è quindi costretto a presentare ricorso al Garante, il gestore della banca dati, qualora vi sia una esplicita richiesta del ricorrente, può essere obbligato a pagare le spese del ricorso.
Il Garante ha posto a carico di una società privata l’ammontare, fissato in misura forfettaria, delle spese e dei diritti riguardanti un ricorso presentato e vinto da un cittadino che aveva cercato inutilmente di conoscere, ai sensi dell’art. 13 della legge 675 del 1996, gli scopi per i quali erano stati
raccolti ed utilizzati i suoi dati personali e di cancellare le informazioni trattate in violazione della
legge.
La società non aveva risposto e l’interessato aveva presentato ricorso al Garante affinché tutelasse i suoi diritti e facesse rispettare l’adempimento. L’Autorità ha pertanto invitato la società ad aderire spontaneamente alle richieste del ricorrente e ad informare con immediatezza la stessa Autorità
delle determinazioni adottate.
A seguito dell’intervento del Garante, la società ha adempiuto a quanto richiesto, ma in ragione
della tardiva adesione alle richieste del cittadino, e per questo parte soccombente nel ricorso, si sono viste attribuire le spese e i diritti dovuti per la definizione del ricorso.
7 giugno 1999
COMUNICATO N. 4
Trattamenti di dati sanitari nei trapianti
Una società impegnata nella fornitura di materiale medico-sanitario intende ampliare la propria
attività e offrire alle strutture ospedaliere materiale per trapianti ricavato dalla trasformazione di tessuti ossei di origine umana. Il procedimento di trasformazione consisterebbe, secondo le informazioni fornite dalla società, nella raccolta e nella trasformazione di residui ossei da pazienti che, avendo
subito interventi chirurgici di tipo ortopedico, hanno consentito ad una loro donazione.
82
Comunicati stampa
La società ha, dunque, chiesto al Garante di essere autorizzata:
• a trattare i dati sulla salute dei donatori,
• a conservare tali dati fino al termine di utilizzabilità del tessuto osseo donato o, in caso di trapianto, fino alla comunicazione del decesso del ricevente
• alla trasmissione dei dati personali di tipo ordinario e di quelli sulla salute del donatore ad un
laboratorio di uno dei paesi dell’Unione europea incaricato di effettuare il trattamento di trasformazione del tessuto osseo.
Il Garante ha risposto che il trattamento dei dati sulla salute dei donatori può considerarsi già
autorizzato in base all’Autorizzazione n. 2/1998 sul trattamento dei dati idonei a rivelare lo stato di
salute (G.U. 1.10.1998, n. 239), nella parte relativa al trattamento dei dati e alle operazioni indispensabili “per adempiere agli obblighi anche precontrattuali derivanti da un rapporto di fornitura all’interessato di beni, di prestazioni o di servizi”. Nel caso specifico, possono rientrare nella nozione
di “interessato” sia la figura del donatore che quella del beneficiario.
L’Autorizzazione del Garante consente, inoltre, sia la conservazione dei dati sulla salute del donatore nelle fasi indicate nella richiesta, sia la comunicazione al laboratorio del paese europeo, a condizione che tali trattamenti siano effettivamente necessari per l’esecuzione delle metodologie di
prelievo e di conservazione del tessuto osseo. Il provvedimento autorizza anche, in caso di trapianto,
a fornire idonee garanzie di sicurezza sia al donatore sia al beneficiario.
Il Garante ha però segnalato alla società la necessità di riformulare il modello di informativa e
consenso da sottoporre al donatore e al beneficiario. Nell’informativa deve, infatti, risultare con chiarezza i due “titolari” del trattamento, la struttura ospedaliera e la società fornitrice del materiale per
trapianti, e il responsabile del trattamento, che potrà essere anche il laboratorio straniero se formalmente designato dalla società.
Va, inoltre, ricordato che, in base alla legge n. 135 del 1990 sull’AIDS, la comunicazione di risultati di accertamenti diagnostici diretti o indiretti per infezione da HIV può essere data esclusivamente alla persona cui tali esami sono riferiti.
La legge n. 675 del 1996, infine, obbliga, com’è noto, il titolare del trattamento ad acquisire il
consenso degli interessati al trattamento dei dati. Il Garante ha valutato, quindi, positivamente la soluzione semplificativa, prospettata dalla società, di anticipare il momento della manifestazione del
consenso alla fase antecedente al prelievo, alla raccolta e alla conservazione del tessuto osseo, e di
porre tale adempimento a carico della struttura sanitaria. Quest’ultima può richiedere sia per proprio
conto sia per la società interessata ed eventualmente anche per il laboratorio europeo un consenso relativo alle diverse fasi del trattamento e ai diversi titolari.
7 giugno 1999
COMUNICATO N. 5
I consiglieri possono conoscere le retribuzioni dei dirigenti ma non i loro cedolini
È stato chiesto all’Autorità un parere in merito ai rapporti tra il diritto di accesso dei consiglieri di enti locali ad atti e documenti in possesso dell’amministrazione comunale e provinciale e la legge sulla protezione dei dati personali. In particolare, si è chiesto di conoscere se un consigliere
comunale, per l’espletamento dei compiti connessi con il suo mandato, possa prendere visione dei cedolini degli stipendi di alcuni dirigenti dell’amministrazione comunale.
Nei provvedimenti finora emanati dal Garante è stato segnalato come il regime di pubblicità
della situazione patrimoniale relativa ai titolari di alcune cariche elettive o direttive, è applicabile
anche ai componenti degli organi elettivi locali e ai titolari di cariche direttive degli enti, degli istituti e delle società concessionarie di pubblici servizi. Tale applicabilità è stata estesa dalla legge
n. 127 del 1997, “Bassanini bis”, anche al personale di livello dirigenziale delle amministrazioni
pubbliche.
83
Comunicati stampa
Queste norme, tuttavia, non obbligano a pubblicare i dati patrimoniali relativi a tali soggetti né
comportano il diritto di conoscere il contenuto dei loro cedolini dello stipendio, nei quali, com’è noto, possono essere contenute informazioni di vario genere (multe disciplinari, pignoramenti per alimenti o tasse, cessioni di stipendio) alcune delle quali aventi natura “sensibile” (sussidi di cura,
indennità di missione handicappati, iscrizione al sindacato ecc.).
A questo proposito, va ricordato che il Garante, con un precedente parere reso al Comune di Roma, ha sottolineato la necessità di adottare le opportune misure volte a tutelare la riservatezza dei dipendenti per fare in modo che i dati contenuti nel cedolino non siano immediatamente accessibili ad
altre persone, rimanendo conoscibili dai soli incaricati del trattamento che li devono necessariamente utilizzare per la gestione del rapporto di lavoro.
Nel caso in esame, dunque, il diritto del consigliere comunale di valutare con piena cognizione
di causa la correttezza e l’efficacia dell’operato dell’Amministrazione, e di accedere, a tale scopo, ai
documenti e a qualsiasi notizia o informazione utili ai fini dell’esercizio delle funzioni consiliari, può
essere soddisfatto attraverso altre modalità quali, ad esempio:
la pubblicità della situazione patrimoniale dei dirigenti;
l’esame dei contratti collettivi, destinati per loro natura ad un regime di diffusa conoscibilità;
l’accesso alle deliberazioni e alle determinazioni, riguardanti indennità e altri emolumenti corrisposti, adottate dall’Amministrazione a favore dei dipendenti.
14 giugno 1999
COMUNICATO N. 6
La diffusione di un elenco di dati su Internet deve rispettare la legge sulla privacy
La legge sulla privacy regola la diffusione dei dati personali in maniera uniforme, a prescindere dal
mezzo utilizzato. Essa infatti prevede una analoga disciplina sia per la diffusione di un elenco di dati personali attraverso una pubblicazione, sia per la messa a disposizione dell’elenco su Internet mediante una
pagina web consultabile da chiunque si colleghi in rete. Le norme sulla tutela dei dati personali si applicano, infatti, a tutte le operazioni di trattamento effettuate, con o senza ausilio di mezzi elettronici.
Questo il principio stabilito dal Garante in risposta ad un quesito posto dalla Federazione nazionale delle imprese di spedizione che aveva chiesto all’Autorità se la diffusione via Internet dell’annuario dei propri associati, prima divulgato attraverso la pubblicazione di un apposito volume,
fosse contraria alla legge n. 675 del 1996.
Il Garante ha sottolineato che, ai fini dell’applicazione della legge sulla privacy, non è rilevante la
modalità attraverso cui le informazioni vengono diffuse (pubblicazione cartacea o informatica), ma il rispetto degli specifici requisiti che rendono possibile tale diffusione. In particolare, per diffondere i dati personali, anche per via telematica, occorre acquisire il preventivo consenso degli interessati oppure
verificare che ricorra uno dei presupposti che permetta di farne a meno: ad esempio, quando si tratta di
adempiere ad un obbligo di legge o di regolamento, oppure i dati provengono da pubblici registri, elenchi o atti conoscibili da chiunque o riguardano lo svolgimento di attività economiche.
Nel caso in questione, l’Autorità ha stabilito che la pubblicazione su Internet dell’elenco degli
spedizionieri associati non pone particolari problemi perché le informazioni contenute nell’annuario
riguardano dati relativi allo svolgimento di attività economiche che possono quindi essere divulgati a
terzi senza il consenso delle imprese interessate (art. 20 della legge n. 675).
Il Garante, tuttavia, ha evidenziato che la Federazione può comunque acquisire in ogni momento del rapporto associativo (adesioni, rinnovi, altre occasioni di incontro) il consenso “informato” delle imprese associate in ordine alla prevista diffusione dei loro dati anche mediante strumenti
informatici. Restano fermi gli altri obblighi previsti dalla legge sulla necessità di non mettere in circolazione dati inesatti o non aggiornati.
14 giugno 1999
84
Comunicati stampa
COMUNICATO N. 7
La divulgazione dei dati personali dei dipendenti pubblici
Gli Istituti di ricerca e sperimentazione agraria possono comunicare al Ministero delle politiche
agricole le informazioni riguardanti i dati economici del personale dipendente senza il consenso degli interessati, quando questi dati siano necessari allo stesso Ministero per recuperare, mediante ritenute sugli stipendi, le somme percepite dai dipendenti a titolo di trattamento accessorio.
Lo ha stabilito il Garante in un parere fornito al Ministero delle politiche agricole che aveva
chiesto se una tale comunicazione fosse legittima e conforme ai principi della privacy.
L’Autorità ha ricordato che la legge n. 675 del 1996 stabilisce che i soggetti pubblici possono comunicare e diffondere dati personali a privati ed amministrazioni pubbliche senza bisogno di
raccogliere il consenso degli interessati, ma in base ad una espressa norma di legge o di regolamento.
In caso di flussi di dati tra soggetti pubblici, quali sono gli Istituti di ricerca e il Ministero delle politiche agricole, se la comunicazione è necessaria per svolgere le funzioni istituzionali delle amministrazioni interessate, tale operazione è ammessa anche in mancanza di una puntuale disposizione
normativa.
Nel caso sottoposto al Garante, la comunicazione dei dati, pur non essendo espressamente prevista da norme di legge o di regolamento, risponde sia alle funzioni istituzionali degli Istituti di ricerca e sperimentazione agraria sia a quelle del Ministero che ha tra i suoi compiti anche quello di
vigilanza sugli istituti.
14.6.1999
COMUNICATO N. 8
Imprese e ricerche economiche
L’ Istat ha comunicato al Garante l’intenzione di aderire alla richiesta avanzata dall’Istituto di
studi ed analisi economica (Isae) di poter accedere all’indirizzario dell’archivio statistico delle imprese attive realizzato dall’Istat. La richiesta dell’istituto di studi ed analisi economica è motivata dall’esigenza di poter disporre, esclusivamente per fini statistici, di dati certi per la formazione di liste
di imprese interessate alle rilevazioni di natura economica prodotte dall’Isae.
Il Garante ha innanzitutto ricordato che la legge n. 675 del 1996 ha fatto salve, laddove compatibili, le disposizioni del decreto legislativo n. 322/1989 sulla disciplina del Sistema statistico nazionale e che è in corso di definizione la disciplina della protezione dei dati personali nel settore della
ricerca scientifica e statistica, in attuazione delle Raccomandazioni del Consiglio d’Europa R. (93) e
R. (97)18.
Data la natura pubblica dei soggetti interessati, la norma della legge n. 675 da considerare è
quella che consente lo scambio di dati tra soggetti pubblici in presenza di una norma di legge o di regolamento che lo preveda.
Tale norma è presente nel D.P.R. n. 374/1998, con il quale si istituisce l’Isae, che consente
espressamente all’Isae di accedere, per lo svolgimento delle proprie attività, al sistema informativo
pubblico, contenente dati di natura finanziaria e contabile, e ai dati del Sistan e di altre amministrazioni, le quali sono tenute a fornire gli ulteriori elementi e le informazioni in loro possesso richieste.
In questo quadro normativo rientra il caso del flusso dei dati fra l’Istat e l’Isae che non richiede, pertanto, la necessità di alcuna comunicazione al Garante.
14.6.1999
85
Comunicati stampa
COMUNICATO N. 9
Sono conoscibili le valutazioni espresse dal datore di lavoro sui dipendenti
Anche le valutazioni che contribuiscono a formare il giudizio annuale sul rendimento di un dipendente, le cosiddette “note di qualifica”, sono dati personali e devono essere messe a disposizione
del dipendente che ne faccia richiesta.
L’importante principio è stato stabilito dal Garante per la protezione dei dati personali, nella decisione con la quale ha accolto il ricorso di alcuni dipendenti di una società che avevano presentato una istanza di accesso, ai sensi dell’art. 13 della legge n. 675 del 1996, alle valutazioni
che li riguardano, ottenendo solo una parziale soddisfazione da parte della società per la quale lavorano.
Nel rifiutare l’accesso ad alcuni dati, la società aveva sostenuto che la legge non potrebbe applicarsi a valutazioni che andranno a comporre il giudizio finale e che non potrebbero essere considerati dati personali tutti i dati o i documenti aziendali solo perché in qualche modo essi siano
riferibili ad uno o più dipendenti. Un’azienda, inoltre, non potrebbe essere obbligata a rivelare giudizi intermedi o in itinere, compilati non in contraddittorio con l’interessato.
Nell’esaminare il caso, il Garante ha innanzitutto ricordato che la nozione di dato personale
contenuta nella legge n. 675 del 1996, estremamente ampia, deriva direttamente dalla Direttiva comunitaria del 1995 e dalla Convenzione di Strasburgo del 1981. La legge sulla privacy definisce, infatti, come dato personale qualunque informazione che possa consentire di identificare una persona,
un ente, un’associazione “anche indirettamente, mediante riferimento a qualsiasi altra informazione.
Può considerarsi come dato personale, dunque, ogni notizia o elemento che fornisce un
contributo aggiuntivo di valutazione rispetto ad un soggetto identificato o identificabile. E questo in riferimento sia ad informazioni oggettive sia a descrizioni, giudizi, analisi o ricostruzioni
di profili personali (riguardanti attitudini, qualità, requisiti o comportamenti professionali) che
danno origine a valutazioni complessive del soggetto interessato. Tale orientamento è comune
nei diversi Paesi dell’Unione europea ed è confermato da documenti e convenzioni internazionali.
Pertanto, il Garante ha ritenuto legittima la richiesta di accesso ai giudizi espressi in sede di formulazione delle note di qualifica, anche in considerazione del fatto che solo una piena conoscenza di
tali elementi informativi permette al dipendente di attivare i meccanismi di ricorso interno o di tutela giurisdizionale amministrativa.
Il Garante ha, tuttavia, sottolineato che l’esercizio del diritto di accesso alle valutazioni da
parte dell’interessato richiede alcune precisazioni. Tra gli elementi che concorrono alla formazione del giudizio ve ne sono alcuni che hanno carattere obiettivo (ad esempio il numero delle pratiche svolte, i giorni di assenza ecc.) rispetto ai quali può certamente essere esercitato il diritto di
correzione.
Non si potrà, invece, chiedere la correzione dei giudizi espressi nell’ambito dell’attività di valutazione del lavoro. Questi dati potranno semmai essere oggetto di un’eventuale richiesta di integrazione (attraverso l’inserimento di note o precisazioni a margine), diritto ugualmente previsto dall’art.
13 della legge n. 675.
L’esercizio del diritto di accesso è, comunque, subordinato al completamento della procedura di
valutazione, e quindi non può essere fatto valere nelle fasi di preparazione delle schede di valutazione e delle finali note di qualifica. Inoltre, il datore di lavoro potrà prevedere misure idonee a tutelare l’anonimato dell’autore delle valutazioni stesse.
Accogliendo il ricorso, l’Autorità ha, quindi, ordinato alla società di corrispondere alla richiesta di accesso ai dati da parte degli impiegati, dando conferma all’Ufficio del Garante dell’avvenuto
adempimento.
17.6.1999
86
Comunicati stampa
COMUNICATO N. 10
Le regole per l’uso dei dati ai fini della tutela di un diritto in sede giudiziaria
Studi di avvocati e agenzie di investigazioni private hanno posto al Garante quesiti relativi alle
modalità e alle garanzie previste per l’attività di raccolta di elementi di prova da parte di difensori,
investigatori privati e soggetti che debbono tutelare un diritto in sede giudiziaria.
Il Garante ha precisato che per quanto riguarda l’utilizzo di questi dati, considerata la peculiare esigenza di tutela del diritto di difesa, la legge sulla privacy prevede alcune eccezioni alla disciplina ordinaria. Una serie di articoli regolano la materia.
L’art. 10, comma 4, della legge n. 675 del 1996 consente di non informare l’interessato dell’avvenuta raccolta delle informazioni quando: a) i dati siano utilizzati solo per “far valere” o “difendere” un diritto in sede giudiziaria o ai fini dello svolgimento delle investigazioni svolte dai difensori di
un imputato allo scopo di ricercare elementi di prova; b) l’utilizzo dei dati non superi il periodo strettamente necessario al perseguimento di tali fini.
In questi casi, inoltre, non è necessario acquisire il consenso dell’interessato.
L’art. 20, comma 1 lettera g), ammette la comunicazione ad un determinato soggetto (ma non
la diffusione) dei dati personali da parte dei privati o di enti pubblici economici, quando questa sia
necessaria all’esercizio di un diritto in sede giudiziaria o per le investigazioni, sempre che i dati siano trattati esclusivamente per questi scopi e per il periodo strettamente necessario al loro perseguimento.
Queste eccezioni non si applicano ad alcuni dati sensibili, per trattare i quali sia gli avvocati
che gli investigatori privati dovranno rispettare le rigorose prescrizioni contenute nell’Autorizzazione
del Garante n. 4 del 1998, relativa al trattamento dei dati sensibili da parte dei liberi professionisti,
e nell’Autorizzazione n. 6 del 1998, sul trattamento di alcuni dati sensibili da parte degli investigatori privati (Gazzetta Ufficiale del 1 ottobre 1998, n. 113).
Per trattare dati di tipo giudiziario, quelli cioè relativi ai provvedimenti inseriti nel casellario
giudiziale, le regole sono invece quelle stabilite nell’Autorizzazione del Garante del 10 maggio 1999
(G.U. del 4 maggio 1999, n. 111).
Infine, non è necessaria alcuna autorizzazione giudiziaria per il rilascio delle ordinarie certificazioni anagrafiche, fatto salvo il caso della richiesta dell’estratto in copia integrale di un atto dello
stato civile.
21.6.1999
COMUNICATO N. 11
Questionari negli asili nido. Il Garante dichiara inammissibile un ricorso ma avvia
un’indagine sul caso segnalato
Un ricorso al Garante può essere presentato esclusivamente dall’interessato, cioè dalla persona
a cui si riferiscono i dati personali oggetto del trattamento, e non da persone che lo rappresentino senza una specifica delega o procura.
Lo ha stabilito l’Autorità che ha respinto il ricorso di alcuni consiglieri comunali in qualità di
generici “rappresentanti” di alcuni genitori utenti di un asilo nido di un Comune.
Nell’esaminare il caso il Garante ha anche ribadito che il ricorso non si può presentare per lamentare qualsiasi violazione della normativa in tema di dati personali, ma solo per la tutela di una
precisa richiesta (accesso, correzione, integrazione, cancellazione dei dati) avanzata precedentemente e disattesa dal gestore della banca dati.
Pur non potendo accogliere, per questi motivi, il ricorso, il Garante ha, tuttavia, ritenuto il caso
presentato meritevole di un suo intervento: secondo la segnalazione, un Comune avrebbe infatti di-
87
Comunicati stampa
stribuito agli utenti degli asili nido della città un questionario con il quale i destinatari sarebbero stati inviati a fornire dettagliate informazioni circa la professione, il reddito, le disponibilità finanziarie
e patrimoniali dei componenti il nucleo familiare. Con il modulo verrebbero richieste informazioni
sulla presenza all’interno del nucleo familiare di persone handicappate e non verrebbero fornite adeguate garanzie di sicurezza sul trattamento dei dati. I dati, infine, non sarebbero strettamente necessari agli scopi per i quali sono raccolti.
L’Autorità ha, pertanto, instaurato un distinto e autonomo procedimento per valutare la fondatezza dei rilievi formulati il caso presentato e ha invitato il Comune interessato a far pervenire al più
presto notizie utili riguardo al trattamento di dati personali connesso alla distribuzione del questionario rivolto agli utenti degli asili nido della città, con particolare riferimento agli obblighi normativi
posti a fondamento dell’iniziativa, all’adempimento degli obblighi di informativa nei confronti degli
interessati, alle modalità di trattamento e conservazione dei dati e alle misure di sicurezza adottate.
28.6.1999
COMUNICATO N. 12
Privacy e società finanziarie. Quando non è necessario il consenso per ottenere
un finanziamento
Un cittadino ha segnalato all’Autorità un modello di informativa e consenso sottopostogli da una
società finanziaria in occasione dell’istruttoria di una pratica di finanziamento. Il Garante ha constatato che il modello non era conforme a quanto previsto dalle norme sulla privacy, in modo particolare per quanto riguarda la subordinazione del finanziamento alla manifestazione di un consenso molto
ampio riferito anche ad attività estranee al rapporto.
L’Autorità ha perciò ritenuto fondata la segnalazione e ha chiesto alla finanziaria di riformulare
il modello in base a specifiche indicazioni.
Il Garante ha, innanzitutto, stabilito che nel modello vanno distinti gli scopi per i quali il conferimento dei dati è facoltativo o obbligatorio, in modo da permettere agli interessati di esercitare liberamente e consapevolmente le possibili opzioni in ordine all’ampiezza del consenso. In particolare,
era necessario distinguere tra i trattamenti indispensabili perché possano essere forniti i servizi richiesti dal cliente, e le eventuali ulteriori utilizzazioni dei dati per finalità (statistiche, commerciali,
di marketing e promozionali) non collegate alle operazioni di finanziamento e per le quali deve essere assolutamente garantita la libertà di esprimere il consenso.
La mancata prestazione del consenso per queste ultime informazioni, infatti, non deve comportare alcuna conseguenza negativa riguardo alla concessione del finanziamento.
Per quanto riguarda, poi, l’ambito di diffusione dei dati acquisiti dall’interessato, la società doveva distinguere tra le comunicazioni a terzi strettamente necessarie ai fini del servizio richiesto e le
altre operazioni di comunicazione (per esempio a fini di ricerche di mercato e di marketing, di gestione dei sistemi informativi, di copertura assicurativa ecc.) non indispensabili.
Nel modello di informativa e consenso esaminato dal Garante, inoltre, le modalità di comunicazione, anche a “catena”, erano eccessivamente ampie e finalizzate ad usi che non hanno nulla a che
fare con il servizio richiesto. Per questo tipo di utilizzo, è invece necessario richiedere un consenso
specifico che permetta all’interessato di comprendere se si autorizzi solo la società finanziaria o anche gli altri soggetti che operano per conto della società. Questi ultimi, peraltro, che devono essere
indicati come responsabili del trattamento, a meno siano autonomi titolari del trattamento
Il modello predisposto dalla finanziaria, infine, ingenera l’erronea convinzione che il diritto di
acceso ai propri dati non possa essere esercitato dall’interessato direttamente presso la società, così
come invece prevede la legge sulla privacy.
Il Garante, pertanto, ha chiesto di predisporre un nuovo modello e, nelle more, ha invitato la società a non trarre conseguenze sfavorevoli per l’interessato, in caso di mancata prestazione del con-
88
Comunicati stampa
senso sulla base del precedente modello. I dati raccolti finora raccolti col vecchio modello non dovranno, comunque, essere utilizzati per le finalità non strettamente collegate ai servizi e alle operazioni di finanziamento.
28.6.1999
COMUNICATO N. 13
I giudizi contenuti nelle perizie medico-legali sono dati personali
Le valutazioni e gli altri elementi di giudizio contenuti nelle perizie medico-legali sono dati personali e, nel rispetto degli espressi limiti previsti dalla legge n. 675 del 1996, devono essere messi a
disposizione dell’interessato che ne faccia richiesta.
La questione è stata chiarita dall’Autorità in due diverse decisioni riguardanti i ricorsi presentati da due persone che avevano chiesto alla propria assicurazione di poter accedere ai dati che li riguardano ed in particolare alle informazioni personali, anche di tipo sensibile, contenute nella perizia
medico-legale effettuata per conto della stessa società assicuratrice ai fini della liquidazione dell’indennizzo.
Non avendo ricevuto riscontro alla loro richiesta, gli interessati si sono, quindi, rivolti al Garante
perché imponesse all’assicurazione di comunicare i dati.
Esaminando il primo caso, il Garante ha invitato l’assicurazione a fornire i dati richiesti, ma l’assicurazione ha adempiuto solo in parte, escludendo le valutazioni e gli altri elementi contenuti nella
relazione medico-legale redatta dal consulente sanitario di fiducia della società. La mancata comunicazione delle valutazioni contenute nella perizia era stata motivata sulla base della considerazione che
essa rappresenterebbe un mero giudizio personale che, pur se basato su parametri medico-scientifici,
resterebbe il frutto di una elaborazione soggettiva e, in quanto tale, non potrebbe essere definito come
dato personale, anche perché suscettibile per la sua natura di contestazioni e di valutazioni differenti.
Il Garante ha, invece, sancito che le valutazioni mediche devono essere ricondotte alla sfera dei
dati personali.
Sulla scorta di quanto precedentemente stabilito nel recente provvedimento in materia di conoscibilità da parte dei dipendenti della note di qualifica (anche per ciò che riguarda le modalità di accesso alle valutazioni e alla loro integrazione), l’Autorità ha ribadito che la nozione di dato personale,
stabilita dalla legge sulla privacy, include qualunque informazione che permetta di identificare una
persona anche indirettamente. Nel caso in esame, i dati contenuti nelle valutazioni riguardano la salute degli interessati e sono riportati dal medico nella relazione, redatta per conto della società assicuratrice sulla base di documenti sanitari e di altri elementi ricavati da quest’ultimo nelle visite cui
sono sottoposti gli assicurati.
L’Autorità ha dunque ritenuto fondata la richiesta dell’interessato di accedere a questi dati e alle informazioni personali in forma di giudizi sul grado di invalidità permanente da attribuire a causa
del sinistro subito, e ha ordinato alla società assicuratrice di integrare la precedente risposta, comunicando al ricorrente integralmente ed in forma agevolmente comprensibile anche i dati personali
contenuti nei giudizi e nelle valutazioni espresse nonché gli altri profili personali riscontrati dal medico della società.
Il principio è stato ribadito anche nel secondo ricorso affrontato dal Garante, nel quale, tuttavia
è stato specificato che il diritto di accesso è, secondo la legge, temporaneamente “sospeso” quando i
dati sono raccolti ai fini di indagini difensive o comunque per far valere o difendere un diritto in sede giudiziaria. Il diritto è, però, sospeso limitatamente al periodo durante il quale l’accesso potrebbe
causare un pregiudizio per lo svolgimento di tali indagini o per l ‘esercizio di quei diritti, come specificamente previsto dall’art. 14, comma 1, lettera e) della legge n. 675; pregiudizio che deve essere
prospettato dalla parte interessata e valutato caso per caso (nel caso si specie, ad esempio, non erano
stati definiti tutti gli aspetti relativi alla consulenza tecnica d’ufficio).
89
Comunicati stampa
Cessate le esigenze di tutela, il diritto di accesso dell’interessato può pienamente esercitarsi e
tali dati potranno essere integralmente comunicati all’interessato.
28.6.1999
COMUNICATO N. 14
Il Garante estende l’autorizzazione al trattamento dei dati giudiziari
Sulla Gazzetta Ufficiale del 25 giugno 1999, n. 147 è stato pubblicato il provvedimento 3 giugno 1999 con il quale il Garante per la protezione dei dati personali integra l’Autorizzazione 10 maggio 1999 (G.U. 14.6.1999, n. 111 ) rilasciata per il trattamento di alcuni dati a carattere giudiziario
da parte di privati e di enti pubblici economici.
Il nuovo provvedimento estende l’autorizzazione al trattamento di questo tipo particolare di dati alle società di intermediazione mobiliare (SIM), alle società di investimento a capitale variabile (SICAV) e alle società di gestione del risparmio (SGR) ai fini dell’accertamento dei requisiti di
onorabilità nei confronti di soci e titolari di cariche direttive o elettive. Il provvedimento estende, inoltre, l’ambito di applicazione dell’autorizzazione anche alle banche, agli istituti di credito e alle società assicurative per rendere legittimo il trattamento di tali dati necessario all’avvio delle loro
attività, in base alle leggi vigenti.
Va ricordato che la legge n. 675 del 1996 ammette il trattamento dei dati personali idonei a rivelare alcuni provvedimenti giudiziari iscritti nel casellario giudiziale soltanto in base ad una previsione di legge o ad una autorizzazione del Garante che specifichino le rilevanti finalità di interesse
pubblico del trattamento, i tipi di dati trattati e le precise operazioni autorizzate.
Con il provvedimento appena pubblicato viene evitato il rischio che alcuni soggetti privati ed
enti pubblici economici debbano interrompere alcuni trattamenti di dati giudiziari giustificati da un
rilevante interesse pubblico in ragione della loro natura e degli scopi per i quali questi dati sono necessari.
28.6.1999
COMUNICATO N. 15
Non viola la privacy pubblicare dati resi noti direttamente dall’interessato
Non viola i limiti al diritto di cronaca posti a tutela della privacy la diffusione su di un organo di
stampa di circostanze, notizie e dati già resi noti dall’interessato attraverso “lettere aperte” inviate ad
una pluralità indeterminata di soggetti. È quanto affermato dal Garante in un provvedimento con cui è
stata dichiarata la manifesta infondatezza di un ricorso presentato da un ricercatore universitario.
Il ricercatore si era rivolto al Garante chiedendo di far cessare la diffusione da parte di un quindicinale universitario di notizie relative ad un procedimento disciplinare avviato nei suoi confronti,
notizie poi riprese da una emittente radiofonica locale.
Il ricorrente ha lamentato, in particolare, di aver manifestato telefonicamente, prima della pubblicazione, sia al giornalista sia al direttore della rivista la propria intenzione di far diffondere solo le
proprie iniziali e non il nominativo per intero, inviando poi un telegramma di diffida alla divulgazione di notizie lesive della propria immagine e della sfera personale.
Nonostante tale diffida, il quindicinale, ad avviso del ricorrente, avrebbe comunque diffuso le
notizie in modo diffamatorio e comunque senza il necessario consenso dell’interessato e senza che vi
fossero i presupposti per esercitare il diritto di cronaca.
90
Comunicati stampa
Il Garante ha innanzitutto ritenuto inammissibile il ricorso nei confronti dell’emittente radiofonica perché le notizie diffuse non riportavano alcun dato identificativo del ricorrente, ma riprendevano i titoli dell’articolo pubblicato sulla rivista.
Per quanto riguarda il quindicinale, il ricorso è risultato infondato. Il Garante ha infatti evidenziato che le disposizioni della legge sulla privacy non richiedono l’acquisizione del consenso per il
trattamento e la diffusione dei dati, anche se sensibili, da parte di chi svolge attività giornalistica.
L’articolo pubblicato sulla rivista ha riportato in termini di sostanziale correttezza notizie che erano
state rese note direttamente dall’interessato attraverso le “lettere aperte” inviate a tutti i ricercatori
della propria facoltà. L’attualità e la rilevanza delle informazioni riportate sono risultate confermate
non solo da queste “lettere aperte”, ma anche dal fatto che il procedimento disciplinare e quello giurisdizionale amministrativo si erano da poco conclusi.
28.6.1999
COMUNICATO N. 16
Per pubblicare l’elenco degli autodemolitori occorre una apposita norma
Per consentire agli automobilisti di sapere quali demolitori siano autorizzati per legge sia a rottamare i veicoli sia a presentare la richiesta di cancellazione al Pubblico registro automobilistico
(P.R.A.), non è sufficiente un regolamento interno dell’Automobile Club d’Italia.
Lo ha chiarito il Garante rispondendo ad un quesito posto dall’ente riguardo alla possibilità di pubblicare l’elenco dei soggetti e dei centri autorizzati all’attività di demolizione di veicoli e di rimorchi.
Il Garante ha osservato, innanzitutto, che la legge sulla privacy non ha introdotto alcun divieto
di dare conoscibilità a questi dati, ma, in un quadro di maggiore trasparenza, ha stabilito che le amministrazioni e gli enti pubblici, come l’ACI, possono diffondere i dati personali quando ciò sia previsto da norme di legge o di regolamento.
Alla luce di questa previsione, l’esigenza di rendere pubblico l’elenco non può essere disciplinata da un semplice provvedimento interno, come ha proposto l’Automobile Club, ma da una norma
di rango primario o secondario.
Inoltre, poiché la normativa vigente che regola l’attività di demolizione dei veicoli e dei rimorchi prevede in materia specifiche competenze delle Regioni, l’ente dovrà verificare se non spetti a
queste ultime doversi occupare della pubblicazione di tale elenco.
L’Autorità ha, infine, ricordato che la creazione dell’archivio dei demolitori, allo scopo di razionalizzare il lavoro degli uffici provinciali, obbliga l’ACI a fornire la prevista informativa agli interessati per poter trattare i loro dati personali.
28.6.1999
COMUNICATO N. 17
Albo dei geometri: accessibili i provvedimenti disciplinari
Un Collegio provinciale dei geometri ha chiesto al Garante se i provvedimenti di sospensione
dall’esercizio della professione di geometra possono essere comunicati a soggetti che hanno frequenti contatti con questi professionisti.
Il Garante, ribadendo quanto già sottolineato in risposta a diversi quesiti, ha affermato che la
legge sulla privacy non ha modificato la disciplina relativa al regime di pubblicità degli albi e alla conoscibilità degli atti connessi.
91
Comunicati stampa
In particolare, la normativa che regola la professione di geometra individua i soggetti cui devono essere comunicati l’albo ed i provvedimenti di sospensione dall’esercizio della professione (cancellerie delle corti d’appello e dei tribunali della circoscrizione di competenza; pubblici ministeri
presso le medesime autorità giudiziarie; camere di commercio e segreteria del consiglio nazionale dei
geometri). Non è prevista invece la comunicazione in favore di altri soggetti, né la diffusione. Tale normativa, inoltre, in analogia a quanto avviene per altri albi relativi a liberi professionisti, rende già possibile una diffusa conoscibilità dell’albo presso le amministrazioni destinatarie.
Gli albi dei liberi professionisti sono ispirati, per loro natura e funzione, ad un regime di piena
pubblicità, anche in funzione della tutela dei diritti di coloro che a vario titolo hanno rapporti con gli
iscritti all’albo. Questa pubblicità, in linea di principio, riguarda anche i provvedimenti che implicano modifiche di status di iscritto all’albo, quale quello di sospensione dall’esercizio della professione.
In questo quadro, pur non essendo configurabile un dovere del Collegio di dare comunicazione
dei provvedimenti di sospensione a soggetti diversi da quelli indicati nella normativa professionale,
è però possibile comunicare i medesimi provvedimenti ad altri soggetti pubblici, sempre che ciò risulti necessario per svolgere precise funzioni istituzionali di almeno una delle amministrazioni interessate. La legge n. 675 del 1996 permette, infatti, ad un soggetto pubblico di comunicare dati ad altre
amministrazioni pubbliche anche quando, come nel caso in esame, manchi una previsione di legge o
di regolamento che lo autorizzi, ma la comunicazione risulti necessari per lo svolgimento delle predette funzioni e si effettui una comunicazione al Garante (art. 27).
Per quanto riguarda i privati, non essendo possibile comunicare o diffondere nei loro confronti
i dati quando manchi una precisa previsione normativa, la conoscibilità dei provvedimenti è comunque possibile se si esercitano i diritti riconosciuti dalla normativa sull’accesso ai documenti amministrativi.
5.7.1999
COMUNICATO N. 18
Le società concessionarie di servizi pubblici devono rispettare le norme sulla privacy riguardanti i privati
Anche le società per azioni che agiscono come concessionari di pubblici servizi devono rispettare le regole previste dalla legge sulla privacy per il settore privato.
Lo ha stabilito il Garante rispondendo ad un quesito posto dalle Ferrovie dello Stato S.p.a. La
società ha chiesto al Garante se per il trattamento di dati sanitari, relativi in particolare alle visite periodiche sull’idoneità fisica dei dipendenti, potessero avvalersi dello stesso regime giuridico previsto
per le amministrazioni pubbliche. Ciò in ragione del fatto che i numerosi compiti di accertamento e
controllo sulle condizioni psicofisiche dei dipendenti, svolte dal servizio sanitario della società, sono
state demandate alle F.S. S.p.a. da apposite norme legislative emanate quando il titolare dell’esercizio ferroviario aveva ancora natura giuridica di azienda autonoma, norme successivamente confermate anche quando le Ferrovie dello Stato hanno assunto la veste giuridica di ente pubblico economico,
prima, e di società per azioni, poi.
Il Garante ha affermato che le Ferrovie dello Stato, che indubbiamente si trovano nella posizione giuridica tradizionalmente indicata come “esercizio privato di pubbliche funzioni”, non possono
essere però considerate un soggetto pubblico per quanto riguarda le garanzie sulla riservatezza dei
dati.
La legge n. 675 del 1996, infatti, delimita con precisione la categoria dei soggetti pubblici
(escludendo espressamente gli enti pubblici economici) e non consente che in tale categoria vengano ricompresi soggetti aventi natura di società per azioni, come appunto le F.S., anche se queste agiscono come concessionari di pubblici servizi o incaricati dello svolgimento di pubbliche funzioni. A
tali società va, dunque, applicata la disciplina concernenti i soggetti privati.
92
Comunicati stampa
La distinzione è stato, d’altra parte, confermata dal recente decreto legislativo dell’11 maggio
1999, n. 135 sul trattamento dei dati sensibili da parte delle amministrazioni pubbliche.
Per il trattamento di dati riguardanti il personale dipendete, le Ferrovie dovranno, pertanto, fornire agli interessati la prevista informativa, in forme semplici e sintetiche, ed acquisire, laddove necessario, il relativo consenso.
Per quanto riguarda il trattamento dei dati sanitari, in particolare, il consenso viene richiesto ai
dipendenti in relazione al complesso di dati e delle operazioni svolti dal datore di lavoro. La legge sulla privacy prevede tale consenso come meccanismo automatico di particolare tutela, affinché l’interessato acquisti consapevolezza dei trattamenti effettuati su dati di particolare rilievo svolti, per
obblighi di legge o di contratto, sia all’interno dell’azienda che presso soggetti esterni. La richiesta di
consenso va effettuata una volta per tutte e riguarda il normale svolgimento delle operazioni che sono previste in molti casi nell’interesse del dipendente stesso (corresponsione di stipendi e altri benefici, prestazioni previdenziali e assistenziali, ecc.).
5.7.1999
COMUNICATO N. 19
Si possono integrare i dati in possesso delle pubbliche amministrazioni
Il cittadino che ha motivate ragioni per richiedere l’integrazione dei propri dati, deve vedere
soddisfatto questo diritto. Il gestore della banca dati deve perciò corrispondere alla richiesta in base
all’obbligo che la legge sulla privacy gli impone di trattare solo dati esatti, completi ed aggiornati.
Questo principio è stato affermato dal Garante nella decisione relativa ad un ricorso presentato da
una persona che aveva chiesto l’intervento dell’Autorità affinché il Ministero della Difesa provvedesse
alla “cancellazione o all’integrazione dei suoi dati personali contenuti nel foglio matricolare”, con particolare riferimento ai dati sensibili riguardanti lo stato patologico che determinò a suo tempo il collocamento in congedo illimitato. L’interessato aveva rivolto al Ministero un’istanza con la quale aveva
appunto richiesto che nel foglio matricolare si desse conto delle risultanze della perizia effettuata alcuni anni dopo dal Collegio medico legale della Direzione generale della sanità militare, dalla quale emergono risultanze diverse e più favorevoli rispetto a quelle rilevate anni prima dall’Ospedale militare.
Il Ministero non aveva soddisfatto la richiesta facendo notare che già sulla base delle leggi vigenti, l’ambito di comunicazione di questi dati, riguardanti le patologie riscontrate, è limitato. Infatti tali dati possono essere messi a disposizione soltanto dell’interessato e delle strutture sanitarie pubbliche.
Esaminando il caso, il Garante ha dichiarato il ricorso infondato per quanto attiene alla richiesta di cancellazione dei dati personali dell’interessato, ma fondato e meritevole di accoglimento per
quanto concerne la richiesta di integrazione dei dati.
Per quanto riguarda il primo aspetto, la legge sulla privacy stabilisce che la cancellazione dei
dati personali può essere richiesta dall’interessato qualora i dati siano trattati in violazione di legge. Tutti i trattamenti dei dati personali comuni e sensibili, svolti dai vari organi dell’amministrazione della difesa nel caso specifico, sono invece avvenuti in attuazione delle disposizioni
normative che disciplinano, in particolare, le cause inabilitanti al servizio militare. Si tratta, cioè,
di trattamenti finalizzati all’adempimento da parte dell’amministrazione delle proprie finalità istituzionali. Il Garante non ha ravvisato quindi le condizioni per poter accogliere la domanda di cancellazione dei dati.
Per quanto riguarda, invece, il secondo aspetto, l’art. 13 della legge sulla privacy prevede che
l’interessato ha diritto ad ottenere “qualora vi abbia interesse, l’integrazione dei dati”. Il Garante ha
affermato che può esistere un legittimo interesse della persona ad ottenere che i dati riguardanti il
proprio stato di salute (nel caso specifico quelli risultanti dal foglio matricolare) siano aggiornati e
completi. E ciò per evitare che le strutture sanitarie pubbliche che sono legittimate alla conoscenza
di tali dati vengano in possesso di informazioni inesatte, incomplete o, come nel caso in esame, non
aggiornate in quanto riferite ad una situazione diagnosticata molti anni fa ed ora non più attuale.
93
Comunicati stampa
Deve, pertanto, considerarsi legittima la richiesta dell’interessato di ottenere l’integrazione del
dato riguardante la sua salute psicofisica.
Va riconosciuta, in particolare, la possibilità all’interessato di far integrare la diagnosi a suo tempo effettuata dai medici dell’ospedale militare con le successive risultanze degli accertamenti effettuati presso il Collegio medico legale della Direzione generale della sanità. Tali accertamenti avevano,
infatti, messo in luce un quadro clinico diverso da quello riscontrato anni prima e giustificano la richiesta di integrazione ed aggiornamento del dato. La necessità che tutti i dati personali e quindi anche dati particolarmente delicati come quelli riguardanti lo stato di salute siano esatti, aggiornati e
completi è chiaramente affermata dall’art. 9 della legge n. 675 del 1996 e costituisce uno dei cardini della disciplina in materia di protezione dei dati personali. Tale importante principio è stato recentemente ribadito, con specifico riferimento ai dati sensibili trattai da soggetti pubblici, dal recente
decreto legislativo dell’11 maggio 1999, n. 135, il quale stabilisce che le amministrazioni pubbliche
verifichino “periodicamente l’esattezza e l’aggiornamento dei dati, nonché la loro pertinenza, completezza, non eccedenza e necessità rispetto alle finalità perseguite nei singoli casi”.
Alla luce di queste motivazioni, il Garante ha ordinato al Ministero della difesa di aggiornare il
foglio matricolare dell’interessato.
5.7.1999
COMUNICATO N. 20
Formazione professionale: il monitoraggio sui tirocini affidato a privati deve rispettare le norme sulla privacy
Il Ministero del lavoro ha chiesto un parere al Garante in merito al trattamento di dati svolto da
un soggetto privato per conto dell’Amministrazione in relazione ai tirocini avviati nell’ambito di progetti di formazione professionale.
Il Garante ha innanzitutto ricordato che i trattamento dei dati personali non sensibili da parte
delle amministrazioni pubbliche è regolato dall’art. 27 della legge n. 675 del 1996, che consente di
compiere operazioni di trattamento solo per lo svolgimento delle funzioni istituzionali, nei limiti stabiliti dalla legge e dai regolamenti.
Nel caso in esame, il trattamento dei dati da parte del Ministero del Lavoro trova fondamento nella legge n. 845 del 1978, legge quadro sulla formazione professionale, che prevede e finanzia interventi
in materia di studi, ricerca e sperimentazione, da realizzare sulla base di uno specifico piano annuale.
Per quanto riguarda, in particolare, l’affidamento a privati di attività per fini istituzionali da parte di un’amministrazione pubblica, la legge sulla privacy non pone alcun ostacolo. Il privato che svolga determinate attività per organismi pubblici, attraverso concessioni, appalti o convenzioni, può
infatti essere formalmente designato responsabile del trattamento o, in mancanza di tale designazione, va considerato come soggetto autonomo che tratta i dati.
Nella prima ipotesi, il privato diviene elemento strumentale rispetto alle finalità della struttura
pubblica ed è quindi tenuto ad utilizzare i dati per i soli scopi perseguiti dall’amministrazione. Nel
secondo caso, va invece considerato come soggetto autonomo titolare del trattamento e deve rispettare le norme relative ai soggetti privati e chiedere il previsto consenso agli interessati, laddove necessario (art. 17 e 10 della legge n. 675).
Restano fermi, comunque, per il privato come per il Ministero, alcuni obblighi: a) fornire l’informativa agli interessati inserendola, ad esempio nel modello di partecipazione al progetto; b) adottare
le misure idonee ad assicurare la riservatezza delle informazioni acquisite e la sicurezza minima delle banche dati; c) utilizzare soltanto dati strettamente necessari rispetto agli scopi per i quali i dati
sono raccolti e successivamente trattati.
5.7.1999
94
Comunicati stampa
COMUNICATO N. 21
Omicidio Basile
In relazione all’omicidio del dirigente dell’assessorato all’Agricoltura e Foreste di Palermo, Filippo Basile, alcuni quotidiani nazionali, parlando dell’inchiesta effettuata dalla Commissione Antimafia della Assemblea regionale sui procedimenti a carico dei funzionari regionali, hanno citato il
caso di quei dirigenti che, a differenza del Basile, hanno tardato o addirittura si sono rifiutati di fornire l’elenco dei funzionari sotto processo o comunque coinvolti in indagini giudiziarie, richiamandosi alla legge sulla privacy.
Gli stessi quotidiani nazionali hanno però omesso di riportare la tempestiva precisazione che in
merito alla questione il Garante per la protezione dei dati personali aveva fatto già il 18 marzo scorso con un provvedimento il cui contenuto è stato diffuso agli organi di informazione attraverso un comunicato stampa e con dichiarazioni dello stesso presidente dell’Autorità a due giornali siciliani.
Rispondendo infatti ad un quesito posto dalla Regione Sicilia, il Garante ha affermato che la legge sulla privacy era stata invocata in maniera del tutto erronea. Le norme in essa contenute non pongono alcun ostacolo alla comunicazione dei dati riguardanti i procedimenti giudiziari a carico dei
dirigenti regionali e funzionari equiparati, alla Commissione Antimafia regionale.
L’art. 27 della legge n. 675 del 1996 consente lo scambio di dati tra soggetti pubblici in presenza di una norma di legge o di regolamento che lo preveda.
Nel caso di specie, questa norma è contenuta nella legge regionale 14 gennaio 1991, n. 4, la
quale, all’art. 6, demanda alla predetta Commissione precisi compiti e crea nei confronti degli organi dell’Amministrazione regionale e degli enti locali siciliani, o sottoposti alla vigilanza della Regione, l’obbligo di collaborare con la Commissione e di ottemperare alle sue richieste; pone, inoltre,
l’obbligo per gli amministratori pubblici e per i predetti enti di “ottemperare alle richieste della Commissione e di fornire alla medesima ogni necessaria collaborazione ai fini dell’espletamento dei compiti a questa attribuiti”.
7.7.1999
COMUNICATO N. 22
Accordo di Schengen. Audizione parlamentare del Presidente del Garante
Nell’ambito dell’indagine conoscitiva sull’integrazione dell’acquis di Schengen nella Unione
Europea avviata dal Comitato parlamentare di controllo sull’attuazione ed il funzionamento della convenzione di applicazione dell’accordo di Schengen, giovedì 8 luglio si è svolta l’audizione del Presidente dell’Autorità Garante per la protezione dei dati personali, Stefano Rodotà. L’acquis è il termine
utilizzato per indicare tutte le norme, i regolamenti, le decisioni dell’Autorità di Controllo Comune
(ACC) riguardanti l’attuazione della Convenzione di applicazione dell’accordo di Schengen.
Il Presidente Rodotà ha messo in guardia dai rischi di depotenziamento dell’Autorità di Controllo Comune (ACC) che vigila sul corretto uso della banca dati del Sistema d’Informazione di Schengen. (SIS). IL SIS è un archivio elettronico che centralizza tutte le informazioni riguardanti le persone
ricercate o poste sotto sorveglianza, quelle sui veicoli rubati, sul traffico d’armi, sui documenti falsi e
sul sequestro di banconote false. Il sistema si compone di sezioni nazionali e di un supporto tecnico,
che ne assicura l’uniformità, situato a Strasburgo. Il controllo dell’archivio della sezione italiana del
Sistema d’Informazione di Schengen, allo scopo di verificare che l’elaborazione e l’utilizzazione dei
dati inseriti rispetti i diritti delle persone interessate, viene svolto in Italia dal Garante per la protezione dei dati personali.
In questa veste il Garante è chiamato a far parte dell’Autorità Comune di Controllo, l’organismo
indipendente che raggruppa i rappresentanti dei Garanti della privacy dei Paesi che fanno parte del-
95
Comunicati stampa
l’Accordo di Schengen ed ha il compito di fare in modo che questi Paesi rispettino la riservatezza dei
dati.
“Sta accadendo - ha affermato Rodotà - che l’ACC viene indebolita: non ha un bilancio autonomo, non ha un proprio segretariato, non ha piena autonomia per quanto riguarda le riunioni: tutte questo rischia di pregiudicare l’efficacia dei controlli perché l’autonomia e l’indipendenza di un organo
si può eliminare non solo con la cancellandone le prerogative ma anche condizionandone l’attività attraverso una limitazione delle risorse”.
“Se si fanno passi indietro sulle garanzie dei cittadini e la trasparenza delle procedure - ha continuato Rodotà - si rischia di pregiudicare anche l’efficienza di queste banche dati. Per esempio, solo eliminando le informazioni sbagliate su richiesta degli interessati, si garantisce l’efficienza del
sistema”. Per questo, il presidente del Garante ha sottolineato al Comitato parlamentare “il ruolo che
i parlamenti nazionali possono svolgere per cercare di evitare che si prendano decisioni a livello europeo che pregiudichino l’efficienza di questa Autorità, turbando l’equilibrio tra esigenze di sicurezza e garanzie di libertà”. Rodotà ha anche ricordato che la stessa ACC ha rivolto raccomandazioni ai
Governi, “ma tranne il ministero dell’Interno francese non ha risposto nessuno. Questo vuol dire che
l’Autorità è considerata poco più di un festone, non un elemento effettivo del sistema europeo di controllo”. E tutto questo mentre in Europa si stanno moltiplicando le raccolte di dati in funzione di prevenzione e di sicurezza come Europol e il sistema doganale europeo, e si annuncia quella di Eurodac,
molto delicata, perché riguarda le impronte digitali di chi chiede. La moltiplicazione delle banche dati viene formalmente accompagnata dalla previsione di garanzie, che tuttavia è - indispensabile - rendere in ogni caso effettive”.
12.7.1999
COMUNICATO N. 23
Privacy e posta elettronica
I messaggi che circolano, via Internet, nelle liste di posta elettronica e nei newsgroup ad accesso limitato devono essere considerati come corrispondenza privata e in quanto tali non possono essere violati.
Lo ha stabilito il Garante affrontando il più ampio caso di una mailing list costituita su iniziativa di alcuni dipendenti di un’amministrazione con strumenti messi a disposizione dalla stessa amministrazione.
Il principio riguarda non solo le singole “e-mail”, ma anche le più articolate mailing list, ovvero i servizi di posta elettronica con un indirizzario automatico che consente la contemporanea trasmissione a più persone di una comunicazione o messaggio su determinati argomenti di interesse
comune (in genere, il messaggio, inviato al computer che “amministra” la lista, viene poi spedito automaticamente alla casella di posta elettronica di tutti gli aderenti).
Nella sua decisione, il Garante, nel ribadire i principi contenuti nell’art. 15 della Costituzione,
che afferma l’inviolabilità della libertà e della segretezza della corrispondenza e di ogni altra forma
di comunicazione, ha ricordato che la legge n. 547 del 1993 sui reati informatici e, da ultimo, il D.P.R.
n. 513 del 1997 sul documento elettronico, hanno confermato che la posta elettronica deve essere tutelata alla stregua della corrispondenza epistolare o telefonica.
Per le caratteristiche assunte da tali circuiti privati di posta elettronica, i messaggi che in essi
circolano vanno considerati quindi alla stregua della corrispondenza privata e non possono essere
abusivamente intercettati. Ciò, sia che si tratti di vere e proprie “mailing list”, sia che si tratti di newsgroup ad accesso condizionato dalla disponibilità di una password fornita ad una pluralità di soggetti
determinati, e a prescindere dal fatto che la rete operi attraverso le strutture pubbliche che un’amministrazione ha consentito di utilizzare.
96
Comunicati stampa
Nel caso di specie, il Garante ha peraltro precisato che, analogamente a quanto avviene per la
normale corrispondenza, non può essere considerata contrastante con la normativa sui dati personali
l’eventuale successiva presa di conoscenza della e-mail da parte di soggetti estranei al circuito di posta elettronica, quando il messaggio non sia stato indebitamente acquisito da questi ultimi ma ad essi comunicato da parte di uno dei destinatari del messaggio stesso.
12.7.1999
COMUNICATO N. 24
Assicurazioni: le regole per l’informativa ai clienti
Esaminando le segnalazioni presentate da alcuni cittadini sul modello di informativa loro sottoposto, alcuni mesi or sono, da una società di assicurazione, il Garante ha indicato le regole che le assicurazioni devono rispettare nella predisposizione della informativa da dare ai clienti. Al tempo
stesso, nel ribadire i principi già affermati in precedenti pronunce riguardanti i modelli di informativa elaborati nella prima fase di applicazione della legge n. 675 del 1996, l’Autorità ha richiamato l’attenzione della società interessata sulla possibilità di predisporre un modello esauriente, ma nel
contempo semplificato, sulla falsariga di quello messo a punto dallo stesso Garante per il settore bancario.
Sulla base di queste premesse, l’informativa scritta da rendere ai clienti deve recare chiara la
distinzione tra il caso in cui i dati siano stati raccolti presso l’interessato e l’ipotesi in cui i dati stessi siano raccolti presso terzi. Qualora si intenda predisporre un unico modello cartaceo per le due
informative previste dalla legge, si potrebbero articolare sullo stesso modello distinte caselle da barrare a seconda delle situazioni.
Le finalità per le quali i dati sono raccolti e le modalità del loro trattamento devono essere indicate in maniera analitica e non generica, così come dovrà essere indicato con chiarezza se gli eventuali soggetti che forniscono specifici servizi di elaborazione per conto della società titolare,
svolgano tale trattamento di dati presso una struttura esterna responsabile del trattamento oppure
debbano essere considerati soggetti estranei all’originario trattamento effettuato presso la società assicuratrice, e quindi, in qualità di titolari del trattamento, obbligati a richiedere in proprio il previsto consenso.
Il Garante ha poi specificato che non è conforme alla legge prospettare al cliente che il rifiuto a
fornire i dati personali può comportare l’impossibilità di stipulare o eseguire il contratto di assicurazione. L’informativa deve, invece, riportare in maniera precisa la distinzione tra i casi in cui: a) i dati devono essere forniti perché strettamente funzionali all’esecuzione del rapporto contrattuale; b) i
dati devono essere forniti in base ad un obbligo di legge; c) i dati si riferiscono ad ulteriori attività da
parte della società assicuratrice per le quali è necessario il consenso.
I destinatari, per i quali viene richiesto il consenso alla comunicazione dei dati, devono essere individuati analiticamente e non attraverso una mera elencazione esemplificativa per categorie o
settori.
Infine, l’informativa deve distinguere i casi in cui il consenso è necessario per la comunicazione a terzi da parte della società assicuratrice oppure per l’ulteriore trattamento effettuato dai terzi medesimi. Infatti, pur tenendo conto che, come ribadito più volte dal Garante, nulla osta a che il
consenso sia richiesto da un primo titolare anche nell’interesse di altri titolari, tale evenienza deve
essere realizzata tenendo presente che, come previsto dalla legge sulla privacy, il consenso deve essere prestato in forma specifica e riferirsi ad un preciso genere di trattamento effettuato da un ben individuato titolare.
19.7.1999
97
Comunicati stampa
COMUNICATO N. 25
Anche i dati non organizzati in un archivio sono soggetti alle norme sulla privacy
La semplice raccolta da parte di un ente di dati personali, anche se non inseriti in banche dati, costituisce, in base alla legge n. 675 del 1996, un trattamento di dati ed è quindi soggetto alle sue norme.
Il principio è stato ribadito dal Garante in risposta ad alcuni quesiti posti da diversi Comuni italiani. Le legge sulla privacy, infatti, non riguarda solo i dati strutturalmente organizzati in banche dati o archivi, ma tutti i “trattamenti di dati personali” e quindi le varie operazioni che li costituiscono.
Questo significa che bisogna garantire agli interessati i diritti previsti dall’art. 13 (accesso ai dati, integrazione, cancellazione opposizione al loro trattamento), provvedere alla nomina delle figure responsabili del trattamento, e adottare le misure di sicurezza per la salvaguardia delle informazioni.
Nel rispondere al quesito, l’Autorità ha colto l’occasione per chiarire anche alcune altre questioni sull’applicazione della legge sulla privacy.
Ha innanzitutto ribadito che il titolare, nel caso di pubbliche amministrazioni, non è la persona
fisica che le rappresenta, ma l’amministrazione stessa. Il titolare del trattamento sarà, dunque, il Comune stesso.
Il Garante ha, inoltre, sgombrato il campo da un equivoco ricorrente: che, cioè, i soggetti pubblici, come i Comuni, debbano o possano acquisire il consenso degli interessati per trattare e comunicare i dati in loro possesso. Questo è chiaramente escluso dalla legge n. 675 che, pur stabilendo una
disciplina differenziata per la comunicazione o diffusione di dati sensibili o non sensibili (la prima
più rigorosa rispetto alla seconda), in nessun caso prevede la richiesta di consenso agli interessati.
Per quanto riguarda la nomina dei responsabili del trattamento, di coloro cioè che si occuperanno della gestione e della sicurezza dei dati, il Garante ha suggerito che, laddove sia compatibile con
l’organizzazione o le attività dell’ente, vengano designate responsabili le persone in relazione alla funzione svolta (es. capo del personale, dirigente dell’anagrafe ecc.) in modo tale da creare automatismi a
tutto vantaggio degli adempimenti burocratici (ad esempio, per quanto riguarda la notificazione al Garante delle banche dati, le sue eventuali modifiche e le informative agli interessati)
Per la nomina degli incaricati del trattamento, occorre che tale compito venga formalmente attribuito a tutti i soggetti che materialmente trattano dati personali.
19.7.1999
COMUNICATO N. 26
Adozioni: non è conforme alla legge trasmettere la diagnosi di AIDS al tribunale
per i minorenni
Un assessorato regionale alla salvaguardia e alla cura della salute ha chiesto al Garante il parere riguardo alla legittimità della procedura secondo la quale i medici delle aziende sanitarie locali,
incaricate del tribunale per i minorenni di sottoporre ad indagini sanitarie le persone che hanno presentato domanda di adozione, riportano nella relazione medica conclusiva i risultati di tutti gli esami
clinici effettuati, compresa l’eventuale diagnosi di infezione da HIV.
Va ricordato, a tale proposito, che la legge n. 184 del 1983 in materia di adozione e affidamento dei minori, recentemente modificata dalla legge 476 del 1998 sull’adozione di minori stranieri, prevede che il tribunale per i minorenni, allo scopo di acquisire elementi di valutazione utili al giudizio
di idoneità all’adozione - e a condizione che sussistano alcuni requisiti minimi stabiliti dalla legge disponga l’esecuzione di indagini sullo stato di salute degli aspiranti genitori adottivi avvalendosi per
quanto di competenza delle aziende sanitarie locali e ospedaliere.
Sulla base della relazione medica completa di tutti gli elementi acquisiti, che le aziende sanitarie locali sono tenute a trasmettere al tribunale dei minorenni, quest’ultimo pronuncia il decreto di
98
Comunicati stampa
idoneità ad adottare (nel caso di adozioni internazionali) o dispone l’affidamento preadottivo (nel caso di adozioni nazionali).
Nell’esaminare la questione, il Garante ha innanzitutto osservato che la normativa in materia di
protezione dei dati personali persegue finalità analoghe a quelle di alcune disposizioni della legge n.
135 del 1990 in materia di AIDS. La legge sulla privacy non ha, infatti, abrogato le disposizioni contenute in questa legge, ma ne ha piuttosto confermato la vigenza, sempre che siano con essa compatibili. Ha quindi confermato che deve ritenersi tuttora operante l’obbligo per gli operatori sanitari, che
nell’esercizio della loro professione vengano a conoscenza di un caso di AIDS, o di un caso di HIV, di
adottare tutte le misure occorrenti per la tutela della riservatezza e di comunicare i risultati degli accertamenti diagnostici esclusivamente alla persona cui tali esami sono riferiti. Così come è tuttora
operante l’ulteriore garanzia prevista dalla legge n. 135, in base alla quale nessuno può essere sottoposto, senza consenso, ad analisi tendenti ad accertare l’infezione da HIV, salvo che per motivi di necessità clinica e nel proprio interesse.
Alla luce di questo quadro normativo, il Garante ha rilevato che la trasmissione del giudizio diagnostico relativo all’accertamento dell’infezione da HIV al tribunale per i minorenni non appare
conforme al preciso dettato normativo della legge sull’AIDS, che impone un rigoroso rispetto della riservatezza delle persone e mira ad operare una selezione dei flussi di circolazione al fine di ridurre il
rischio di discriminazione.
Considerata, dunque, la indubbia importanza e delicatezza della questione prospettata, anche
in relazione alle adozioni internazionali, il Garante ha suggerito le misure che potrebbero essere adottate per assicurare il regolare svolgimento delle procedure necessarie alle adozioni e, al tempo stesso, la salvaguardia della dignità delle persone interessate.
Tenuto conto che la normativa in materia di adozioni, pur prevedendo l’acquisizione di elementi sulla situazione sanitaria degli aspiranti genitori adottivi, non precisa nel dettaglio le indagini cliniche sui sottoporre i medesimi e fa riferimento, piuttosto, ad una relazione medica di ordine generale
che concorre a formare il complesso di elementi su cui il giudice fonda le proprie valutazioni, il medico che compia i dovuti accertamenti può comunicare il risultato diagnostico direttamente ed esclusivamente all’interessato e trasmettere, invece, al tribunale una relazione medica da cui si evinca un
giudizio complessivo circa la sussistenza di eventuali condizioni di rischio o patologiche che possono minacciare l’interesse del minore.
Qualora questa soluzione non potesse essere accolta, in quanto il tribunale per i minorenni, in
virtù di specifici vincoli derivanti da accordi internazionali ratificati con legge, avesse la necessità di
acquisire il risultato dell’accertamento dell’AIDS o dell’infezione da HIV, può essere instaurata la
prassi secondo la quale ciascuno dei coniugi, informato dal medico in ordine alle proprie condizioni
di salute, provveda personalmente a produrre la documentazione al tribunale. Ciò garantirebbe all’interessato la libertà di decidere se rimettere il giudizio diagnostico di AIDS al giudice che è tenuto a valutare l’idoneità all’adozione, oppure se ritirare la domanda evitando così l’ulteriore corso del
procedimento.
Una tale prassi, non ostacolando in nessun modo lo svolgimento dei procedimenti per le adozioni, realizzerebbe un adeguato bilanciamento tra l’interesse dei minori “ad un ambiente familiare
stabile ed armonioso, nel quale essi possano crescere sviluppando la loro personalità in un sano ed
equilibrato contesto di vita, affettivo ed educativo” (sentenza della Corte Costituzionale 24 luglio
1995, n. 361) e il diritto degli adottanti al rispetto della propria dignità e riservatezza.
Il Garante ha, infine, ricordato alcuni obblighi stabiliti dalla legge sulla privacy riguardo al trattamento dei dati sanitari. In particolare, ha richiamato l’attenzione sulla necessità che gli organismi
sanitari che trattano dati idonei a rivelare lo stato di salute rispettino i principi di correttezza e di pertinenza (raccolgano ed utilizzino solo dati esatti, aggiornati e strettamente necessari) e adottino le previste misure di sicurezza e tutte le cautele a tutela della riservatezza degli interessati.
Il rispetto di questi principi, ha ricordato il Garante, deve essere ancora più accurato quando si
trattano informazioni per le quali è previsto un particolare regime di tutela, quali appunto, quelle relative all’AIDS o all’infezione da HIV, dalla cui circolazione può derivare un grave pregiudizio per la
vita privata e la dignità personale degli interessati.
19.7.1999
99
Comunicati stampa
COMUNICATO N. 27
Consigli provinciali e trattamento dei dati personali
È stato chiesto al Garante come debbano comportarsi i consigli provinciali nel trattare i dati
quando ci si trovi a dover nominare i componenti di enti, società, comitati e altri organismi. E questo
sia nel caso che la nomina competa direttamente ai consigli, sia nel caso che le persone vengano indicate da singoli consiglieri o da gruppi consiliari.
Nella prima ipotesi i dati personali trattati ai fini della nomina sono per lo più comuni, riguardando, ad esempio, le generalità dei candidati, l’eventuale posizione di lavoro ecc.
Nelle altre ipotesi, invece, la circostanza che l’indicazione dei nominativi sia effettuata dai singoli consiglieri o da gruppi consiliari di minoranza sembra far ritenere che si tratti anche di dati “sensibili”, idonei a rivelare le opinioni politiche dell’interessato, potendosi presumere che i soggetti
indicati appartengano, più o meno direttamente, all’area politica del consigliere o del gruppo che li
propone.
Alla luce di queste premesse, l’Autorità ha affermato che, in entrambi i casi, il trattamento di
tali dati da parte del consiglio provinciale è legittimo. L’Autorità ha, comunque, sottolineato la necessità che, nello svolgimento dei trattamenti, siano rispettati i principi sanciti dalla legge n. 675
del 1996: in particolare, per quanto riguarda gli obblighi concernenti l’informativa all’interessato,
le misure da adottare per garantire la sicurezza degli archivi e il principio di pertinenza, in base al
quale possono essere trattati solo i dati strettamente necessari alle finalità per le quali sono raccolti.
Per quanto riguarda, poi, l’obbligo di rendere l’informativa ai candidati, l’Autorità ha suggerito
di predisporre una formula chiara e sintetica che potrà essere, a seconda dei casi, inserita nella modulistica in uso per la raccolta delle candidature e consegnata all’interessato dal singolo consigliere
all’atto dell’acquisizione del necessario curriculum, oppure resa nota direttamente dal Consiglio all’atto del vaglio delle candidature. Tale informativa dovrà recare l’indicazione delle finalità per le quali i dati sono raccolti, dell’esatta ubicazione dell’archivio in cui i dati stessi saranno conservati e del
responsabile del trattamento, in modo tale da rendere agevole l’esercizio dei diritti stabiliti dalla legge sulla privacy (accesso alla banca dati, correzione, integrazione, cancellazione dei dati, opposizione al loro trattamento ecc.).
Il Garante ha infine sottolineato la necessità che i dati relativi ai soggetti, la cui proposta non
sia seguita da una effettiva nomina o designazione, siano cancellati non appena terminate le operazioni di vaglio delle candidature, mentre i dati delle persone nominate dovranno essere conservati per
il tempo strettamente necessario al loro uso.
26.7.1999
COMUNICATO N. 28
La privacy non pone ostacoli all’acquisizione da parte della P.A. delle sentenze penali a carico dei dipendenti
Le amministrazioni pubbliche possono utilizzare i dati relativi a sentenze penali emesse nei confronti dei propri dipendenti al fine dello svolgimento dei procedimenti disciplinari.
Il principio è stato affermato in un provvedimento del Garante che ha dichiarato infondato il ricorso di un dipendente, sottoposto a procedimento disciplinare in seguito ad una condanna penale,
che aveva chiesto alla propria amministrazione il blocco del trattamento dei dati giudiziari che lo riguardano, lamentando la violazione della legge sulla privacy. Secondo il ricorrente, infatti, l’amministrazione, avrebbe acquisito la sentenza emessa a suo carico in modo non corretto, in particolare non
rispettando le disposizioni in materia di casellario giudiziale.
100
Comunicati stampa
Nell’esaminare il ricorso, il Garante ha ricordato, innanzitutto, che la richiesta di blocco dei
dati personali può essere richiesta solo quando i dati sono raccolti ed utilizzati in violazione della
legge.
Per quanto riguarda la raccolta, il ricorso è risultato infondato perché la questione sollevata nel caso in esame non riguarda le procedure per il rilascio dei certificati relativi al casellario giudiziale, come
sostenuto dal ricorrente, bensì il rilascio di copie di sentenze che sono acquisibili lecitamente dalla P.A.
ai sensi dell’art. 116 del codice di procedura penale e delle altre disposizioni in materia penale.
Per quanto riguarda l’utilizzazione dei dati relativi alla sentenza da parte dell’amministrazione,
non è emerso, sia dalle contestazioni del ricorrente sia dagli atti acquisiti dal Garante nel corso dell’istruttoria, che l’amministrazione abbia utilizzato tali dati per fini diversi da quelli relativi allo svolgimento del procedimento disciplinare nei confronti del ricorrente.
A tale proposito, il Garante ha infatti ricordato che la legge sulla privacy ha finora consentito,
in via transitoria, il trattamento dei dati giudiziari da parte delle amministrazioni pubbliche, in attesa di una più specifica disciplina. Questa disciplina è stata ora introdotta dal recente decreto legislativo n. 135/1999 che rende ammissibili la raccolta e l’utilizzazione di questi dati da parte della P.A.
nell’ambito del rapporto di lavoro e, in particolare, per svolgere attività dirette all’accertamento della responsabilità disciplinare.
26.7.1999
COMUNICATO N. 28
Accertamenti del Garante
In riferimento alla lettera aperta scritta dall’on. Fabio Evangelisti, riguardo al servizio di accesso ad Internet denominato “Libero”, si rende noto che l’Ufficio del Garante, anche sulla base di precedenti segnalazioni, ha già avviato in data 2 agosto gli opportuni accertamenti per verificare il
rispetto delle norme sulla privacy, in particolare quelle che riguardano l’informativa, il consenso e il
trattamento dei cosiddetti dati “sensibili”.
3.8.1999
COMUNICATO N. 29
Dismissione del patrimonio immobiliare degli enti previdenziali
Il Garante ha esaminato la documentazione trasmessa dal Ministro del Lavoro ed ha rilevato che
l’iniziativa di pubblicare gli atti relativi alla dismissione del patrimonio immobiliare residenziale è
compatibile con la normativa sulla protezione dei dati personali.
In diverse occasioni, menzionate anche nella Relazione al Parlamento e al Governo per l’anno
1998, l’Autorità ha evidenziato che la legge n. 675/1996 non pregiudica la trasparenza dell’attività
amministrativa, specie quando sussista un interesse pubblico a verificare i criteri di utilizzazione di
beni pubblici o la correttezza dell’operato di organi.
Questa compatibilità trova conferma nelle disposizioni del recente decreto legislativo n.
135/1999 che si riferiscono al buon andamento e all’imparzialità dell’azione amministrativa, alla
pubblicità dell’attività istituzionale degli enti pubblici e alla trasparenza in materia di incarichi dei
dipendenti pubblici.
Dalla documentazione trasmessa si può desumere che le notizie che si intende rendere pubbliche relativamente ai soggetti interessati non riguardano dati di carattere “sensibile”, soggetti ad una
101
Comunicati stampa
particolare tutela. Il Ministero del Lavoro può, quindi, rendere pubblici i dati valutando quali modalità scegliere e individuando quali dati, tra quelli che sono nella disponibilità degli enti, siano pertinenti e opportunamente divulgabili in rapporto alla finalità di trasparenza perseguita.
In questo contesto, andrebbero osservate solo alcune cautele per evitare la diffusione di notizie
di cui risulti superflua la pubblicità, come quelle che possono riguardare, a puro titolo di esempio,
particolari situazioni personali e familiari o, eventualmente, il preciso indirizzo degli interessati, fatta salva comunque la possibilità di identificare la zona urbana e le caratteristiche dell’immobile.
Il Garante non ravvisa ovviamente alcuna difficoltà o necessità di particolari adempimenti formali nel caso in cui il Ministero intenda rendere pubblici i dati in questione fornendoli direttamente
al Parlamento in risposta ad interrogazioni od interpellanze oppure inserendoli in allegato ad una relazione alle commissioni parlamentari.
Questo conferimento, come già evidenziato dal Garante in precedenti occasioni, assicura un’ampia conoscibilità dei medesimi dati per effetto della pubblicità degli atti parlamentari, anche da parte dei mezzi di informazione.
Non è preclusa, in via generale, la possibilità per il Ministero di procedere direttamente ad una
diffusione al pubblico dei dati. Limitatamente a quest’ultima ipotesi, sul piano formale, è necessario
però che la diffusione sia specificamente prevista da una norma di legge o da un regolamento (art. 27,
comma 3, legge n. 675/1996).
Resta comunque impregiudicato l’accesso ai documenti amministrativi relativi alle dismissioni
da parte di chi vi abbia interesse, in applicazione della legge n. 241/1990 sulla trasparenza amministrativa.
6.9.1999
COMUNICATO N. 30
Programma Falcone. Approvato il progetto del Garante per la cooperazione nella lotta al crimine e la difesa della privacy
Nel quadro del “Programma Falcone”, che l’Unione Europea sta portando avanti per sviluppare
la cooperazione in campo giudiziario e doganale nella lotta contro la criminalità organizzata, il Garante per la protezione dei dati personali ha ottenuto un finanziamento per un progetto dedicato allo sviluppo di azioni comuni nella protezione dei dati personali e nella lotta contro il crimine organizzato.
Il progetto, che l’Autorità aveva sottoposto al Segretariato Generale del Comitato Falcone, istituito presso la Commissione Europea, prevede l’organizzazione di alcuni seminari ai quali parteciperanno gli esperti dei Paesi membri dell’UE e della Commissione.
I seminari hanno lo scopo di favorire la conoscenza delle normative esistenti in materia di protezione dei dati personali tra i diversi Stati membri e lo scambio di esperienze e informazioni tra magistrati ed esperti, di approfondire i problemi che l’applicazione dei principi della privacy pone, di
individuare possibili soluzioni e azioni comuni (anche allo scopo di attenuare i rischi di possibili diversità di disciplina o di modalità applicative), e di migliorare l’utilizzo degli strumenti di cooperazione nel settore della lotta al crimine nel pieno rispetto delle norme sulla tutela dei dati personali.
Sempre più stretti, infatti, sono i legami che intercorrono tra lo sviluppo di forme di collaborazione tra magistratura e forze di polizia rivolte a migliorare ed affinare gli strumenti a disposizione per
la prevenzione e la repressione della criminalità, in particolare di quella organizzata (e che in larga
parte consistono in scambi di informazioni e creazione di sistemi informativi comuni, anche con funzioni di analisi ed intelligenze), ed il rispetto delle norme dettate a livello internazionale, comunitario e nazionale per fare in modo che questa attività sia svolta senza ledere i diritti fondamentali degli
individui.
Va ricordato che proprio grazie ad un’iniziativa italiana, è stata avviata in seno al Consiglio d’Europa una attività di riflessione riguardante gli Accordi e le Convenzioni elaborate o in coso di elabo-
102
Comunicati stampa
razione nel cosiddetto “terzo pilastro” del Trattato di Maastricht per la parte che riguarda le norme e
le forme di tutela dei dati personali.
6.9.1999
COMUNICATO N. 31
Rating: l’Ufficio Italiano Cambi può raccogliere e diffondere i dati delle società
L’Ufficio Italiano Cambi (UIC) ha chiesto al Garante un parere riguardo agli adempimenti da
adottare per la raccolta, la comunicazione e la diffusione dei dati relativi alla cosiddetta “anagrafe dei
valori mobiliari”, che è composta da informazioni statistiche in materia valutaria, raccolte da banche
e da altri soggetti. In particolare, il quesito riguardava la possibilità di inserire nell’anagrafe il cosiddetto rating delle società che emettono titoli (azioni, obbligazioni), cioè la valutazione sull’affidabilità delle imprese elaborata in base a determinati criteri e diffusa da agenzie internazionali
specializzate.
La cosiddetta anagrafe dei valori mobiliari è stata costituita per rispondere all’esigenza fondamentale di UIC, Banca d’Italia e Consob, di poter disporre di informazioni statistiche attendibili e di
identificare in maniera univoca i titoli con tutte le relative caratteristiche (tasso di interesse, valuta,
scadenza, piano di ammortamento, denominazione del titolo ecc.). L’anagrafe viene resa accessibilea
banche e ad altri intermediari finanziari,
Nel suo parere, il Garante ha innanzitutto ricordato che: a) la legge n. 675 si applica anche al
trattamento dei dati concernenti persone giuridiche; b) le amministrazioni pubbliche possono trattare i dati personali degli interessati senza consenso solo per lo svolgimento delle funzioni istituzionali; c) le operazioni di comunicazione e diffusione dei dati personali da parte delle amministrazioni
pubbliche verso soggetti privati o enti pubblici economici devono essere espressamente previste da
una norma di legge o di regolamento. La divulgazione dei dati è comunque ammessa anche in assenza di una puntuale disposizione normativa, quando sia necessaria per svolgere le funzioni istituzionali delle amministrazioni interessate.
Alla luce di questo quadro normativo, la possibilità di utilizzare dati sui valori mobiliari da parte dell’UIC, trova il suo fondamento sia nel testo unico in materia valutaria (D.P.R. n. 148 del 1988),
sia nella disciplina sul riordino dell’UIC (decreto legislativo n. 319 del 1998) che attribuiscono all’Ufficio il compito di raccogliere ed elaborare le informazioni in materia valutaria a fini conoscitivi
e statistici e di trattare informazioni e dati concernenti la gestione valutaria e le operazioni con l’estero.
Sempre il testo unico in materia tributaria prevede, poi, che l’UIC provveda alla pubblicazione
dei dati, precisando che comunque essi restano coperti dal segreto d’ufficio fino a tale momento. Questa circostanza permette di ritenere che le informazioni e i dati possono essere oggetto, dopo la loro
pubblicazione, di ampia e tempestiva conoscibilità anche da parte di soggetti privati quali banche e
intermediari finanziari.
L’UIC può quindi inserire nell’anagrafe dei valori mobiliari il cosiddetto rating delle società e
successivamente renderlo pubblico.
Tutto ciò non preclude, peraltro, ha affermato il Garante, che l’UIC solleciti l’emanazione di ulteriori norme anche di rango secondario, volte a prevedere altre forme di comunicazione a privati o
enti pubblici sulla base di una individuazione dei dati, delle modalità e delle finalità della stessa.
Il Garante ha, peraltro, ricordato che l’Ufficio italiano cambi è tenuto a rispettare gli adempimenti previsti dalla legge sulla privacy.
In particolare, come ogni altro soggetto che gestisce informazioni personali e banche dati, l’UIC
deve trattare dati strettamente indispensabili. Dovrà, inoltre, assicurare il rispetto delle misure minime di sicurezza previste dal recente D.P.R., approvato dal Consiglio dei ministri il 23 luglio scorso,
riguardante la sicurezza dei trattamenti, provvedendo a definire modalità di conservazione e di con-
103
Comunicati stampa
trollo dei dati idonee a ridurre al minimo i rischi di eventuale distruzione o perdita dei dati trattati ed
evitare l’accesso non autorizzato o un trattamento non conforme alla legge.
Per quanto riguarda i dati raccolti successivamente all’entrata in vigore della legge sulla privacy
(8 maggio 1997), l’Ufficio è tenuto a fornire agli interessati, oralmente o per iscritto, l’informativa prevista. Nei casi in cui i dati siano acquisiti presso terzi, non è necessario inviare l’informativa se il trattamento è effettuato in base ad un obbligo previsto da disposizioni di legge.
7.9.1999
COMUNICATO N. 32
I figli adottivi non possono conoscere l’identità dei genitori naturali
L’Ufficio del Garante ha affrontato il caso di una donna che si era rivolta all’Autorità segnalando il suo desiderio di conoscere l’identità dei genitori naturali e le difficoltà incontrate al riguardo sia
presso l’ospedale dove è nata, sia presso altri uffici. La donna, infatti, che aveva saputo accidentalmente della sua condizione di figlia adottiva, aveva intrapreso ricerche per identificare i genitori che
si sono arrestate di fronte al rifiuto dell’ospedale di fornire notizie o di rilasciare copia del certificato
di assistenza al parto.
La questione sollevata non è regolata specificamente dalla legge sulla privacy, quanto piuttosto
da altre disposizioni nell’ambito della complessa normativa relativa allo stato civile e alle adozioni.
L’Ufficio l’ha comunque esaminata e ha fornito alcune indicazioni dalle quali risulta che al momento
attuale l’ordinamento italiano considera, di regola, prevalente la scelta del genitore di conservare l’anonimato rispetto all’interesse del figlio di conoscerne l’identità.
L’Ufficio del Garante ha ricordato, innanzitutto, che la legge n. 675 del 1996, infatti, non ha
modificato le norme in materia di stato civile, anagrafe ed adozione. La legge n. 183 del 1984, che
disciplina l’adozione e l’affidamento dei minori, stabilisce che l’ufficiale di stato civile e l’ufficiale
di anagrafe devono rifiutarsi di fornire notizie, informazioni, certificazioni estratti o copie dai quali
possa comunque risultare il rapporto di adozione, salvo autorizzazione espressa dell’autorità giudiziaria.
Per quanto riguarda, poi, il certificato di assistenza al parto, la più recente disciplina ha stabilito che la dichiarazione di nascita è resa indistintamente da uno dei genitori, da un procuratore speciale, oppure dal medico, dall’ostetrica o da altra persona che ha assistito al parto, rispettando
l’eventuale volontà della madre di non essere nominata (legge n. 127 del 1997, Bassanini bis).
Anche la giurisprudenza si è occupata della questione. In un caso è stato respinto un ricorso presentato da una persona che, per motivi personali, aveva chiesto all’ospedale competente di accedere,
in base alla legge n. 241 del 1990 sulla trasparenza amministrativa, alla documentazione attestante
le generalità della propria madre e, in particolare, al certificato di assistenza al parto. Tale accesso è
stato negato ritenendo che si tratti di uno dei casi di segreto previsti dalla stessa legge n. 241 (sentenza TAR Lazio sez. III ter del 17.7.1998).
In proposito, il Tribunale amministrativo ha precisato che l’accesso sarebbe da escludere in
quanto la conservazione dell’anonimato della madre, secondo la scelta compiuta all’epoca del parto,
sarebbe collegata ad un “interesse riconosciuto e protetto dall’attuale ordinamento”. Il riconoscimento normativo dell’interesse della madre all’anonimato - secondo la sentenza del TAR - sarebbe
giustificato “non solo da esigenze di tutela della riservatezza della persona, ma anche da superiori ragioni attinenti alla salvaguardia degli interessi, giuridici e sociali, sia della famiglia legittima e dei
suoi componenti sia degli stessi figli non riconosciuti”.
In un altro caso, un tribunale ordinario ha stabilito che il giudice può consentire al personale
medico di conoscere i dati relativi al genitore naturale, nel caso in cui vengano riscontrate nel figlio
patologie la cui cura necessiti di accurati esami genetici (Tribunale di Napoli 5, 20 e 22 ottobre1998,
n. 322/98).
104
Comunicati stampa
Questo quadro d’insieme sembra peraltro confermato dai lavori preparatori del futuro regolamento per la revisione e la semplificazione dell’ordinamento dello stato civile, in fase di preparazione.
L’Ufficio del Garante ha ricordato, infine, che sono attualmente all’esame del Parlamento alcune proposte di legge di modifica della legge sull’adozione che prendono in considerazione anche la
delicata problematica sollevata dall’interessata.
10.9.1999
COMUNICATO N. 33
Il Garante al COM-PA 1999
Il Garante per la protezione dei dati personali partecipa quest’anno, per la prima volta, al COMPA - Salone della comunicazione pubblica e dei servizi al cittadino, che si svolgerà dal 15 al 17 settembre alla Fiera di Bologna.
Nell’ambito della manifestazione dedicata al tema “Spiegare lo Stato, ascoltare il cittadino. Strategie, Percorsi e Frontiere della Comunicazione Pubblica”, si svolgerà il convegno su “Accesso, privacy
e comunicazione: diritti, doveri, incongruenze”, previsto per il giorno 15 settembre alle ore 16.00, al
quale parteciperà in veste di relatore il Prof. Giuseppe Santaniello, Vice Presidente del’Autorità.
Altri rappresentanti dell’Autorità parteciperanno come relatori ai convegni dedicati a “Commercio elettronico, Cittadini, Pubblica Amministrazione”, in programma il 16 settembre alle ore
10.00 e a “Comunicazione e tecnologia: i Call center ”, in programma il 17 settembre ore 12.00 alle
ore 15.00.
L’Autorità è presente al Forum con un proprio stand, presso il quale verrà distribuito gratuitamente il CD rom “Cittadini e società dell’informazione”, che raccoglie atti e documenti riguardanti il
ruolo e l’attività del Garante, la normativa di riferimento nazionale e internazionale, le pubblicazioni
curate dall’Ufficio.
13.9.1999
COMUNICATO N. 34
Audizione del Presidente del Garante alla Commissione affari costituzionali della
Camera
Nell’ambito dell’indagine conoscitiva sulle autorità amministrative indipendenti, lo scorso giovedì 9 settembre si è svolta l’audizione del Presidente dell’Autorità Garante per la protezione dei dati personali, Stefano Rodotà, davanti alla Commissione Affari Costituzionali della Camera dei
Deputati.
13.9.1999
COMUNICATO N. 35
Il Garante alla XXI Conferenza mondiale sulla privacy
Il collegio del Garante ha partecipato alla 21ª conferenza internazionale su “Privacy e protezione dei dati personali” che si è svolta quest’anno ad Hong Kong dal 13 al 15 settembre scorsi.
105
Comunicati stampa
La conferenza, alla quale erano presenti membri delle Autorità per la privacy di Europa, Stati
Uniti, Canada, Asia, Australia e Nuova Zelanda, esperti del settore, rappresentanti delle associazioni dei consumatori e delle grandi imprese, ha affrontato temi di grande interesse: la nuova cittadinanza nel prossimo millennio, i rischi per la privacy determinati dalle nuove tecnologie e dalla ricerca
genetica, l’uso sempre più massiccio della videosorveglianza, la sicurezza dei consumatori e la difesa dei loro diritti nel cyberspazio, il problema dei flussi transfrontalieri di dati, i rapporti tra USA e
UE, la cooperazione giudiziaria, le tecnologie al servizio della privacy (cifratura, autenticazione e certificazione digitale, software di protezione ecc.), i rapporti tra privacy e media, la definizione di standard di qualità nella protezione dei dati.
Nel suo intervento, in qualità di presidente della sessione dedicata ai diritti dei consumatori e il
commercio elettronico, il Prof. Stefano Rodotà ha sottolineato come la tutela dei diritti dei consumatori
nel mondo elettronico sia una questione cruciale. “Il futuro della privacy - ha affermato Rodotà - dipende
dalle risposte che sapremo dare a questa domanda: la privacy è un merce come un’altra o un diritto umano fondamentale? può essere insomma venduta e scambiata in cambio di telefonate e computer gratis o
abbiamo bisogno di regole che la salvaguardino in quanto bene inalienabile?” La privacy, per il presidente dell’Autorità Garante, non è, dunque, una questione puramente commerciale, ma attiene alla condizione umana. Anche le preoccupazioni per l’uso distorto di Internet, secondo Rodotà, non possono
essere usate per eliminare le opinioni di minoranza e gli spazi di libertà, per lasciare libero campo solo
alle esigenze di tipo economico, per far sì che Internet diventi esclusivamente uno spazio di vendita.
“Sulla rete - ha concluso Rodotà - si è prima cittadini, e poi consumatori. ‘Netizen’, cittadino della rete,
non è solo una parola, ma un nuovo concetto di dignità e libertà per l’età dell’informazione”.
Rodotà ha colto l’occasione per annunciare che la prossima conferenza mondiale verrà organizzata in Italia dal Garante e si svolgerà a Venezia dal 28 al 30 settembre 2000. Al centro della conferenza, i temi di cruciale interesse nell’agenda del prossimo secolo: le nuove tecnologie
dell’informazione e la società della sorveglianza, lo sviluppo di sistemi di difesa della privacy, le nuove frontiere nella protezione dei dati personali, quali le biotecnologie e l’ingegneria genetica, la possibilità di definire regole a livello internazionale, la cittadinanza sulla rete.
L’altro intervento dell’Ufficio del Garante è stato quello svolto dal segretario generale, Giovanni Buttarelli, che ha illustrato l’esperienza italiana nella ricerca di un equilibrio tra riservatezza dei
dati e diritto di cronaca che ha condotto all’elaborazione di un codice di deontologia dei giornalisti.
Tra le due opposte tendenze a regolamentare in maniera restrittiva da una parte, e a non regolamentare affatto dall’altra, l’Italia ha indicato in questo modo una terza via da percorrere per contemperare il rispetto della libertà di espressione con quello della riservatezza delle persone.
La conferenza è stata introdotta dal Garante per la privacy di Hong Kong, Stephen Lau. Tra gli interventi svolti nelle varie sessioni possono essere ricordati, tra gli altri, quello di Justice Kirby, giudice
della High Court australiana, dedicato ai nuovi scenari che si aprono per la difesa dei diritti civili e della privacy nel villaggio globale; di Marc Rotenberg, direttore dell’ EPIC (Electronic Privacy Information
Center di New York), che ha affrontato il tema dei rischi di una “routinarizzazione” della sorveglianza nella società del Grande Fratello; di Elizabeth Hurley, ricercatrice all’Università di Harvard, sull’esigenza di
un ritorno al controllo da parte dell’individuo sui propri dati; di Paul Kendall, consigliere generale del Dipartimento della Giustizia americano, sulle tensioni provocate dalle nuove tecnologie tra giustizia e privacy e sulla necessità di un uso appropriato delle informazioni; di Ann Cavoukian, dell’Autorità Garante
canadese, su privacy e uso dei dati biometrici; di Pamela Chan, presidente del consiglio nazionale dei
consumatori di Hong Kong, che ha sottolineato come la fiducia del consumatore sia fondamentale per lo
sviluppo del commercio elettronico; di Bart De Schutter, professore di diritto e membro dell’Autorità Garante belga, che ha richiamato l’attenzione sui sempre più frequenti accordi di cooperazione tra polizie
dei Paesi europei senza dibattito e verifica parlamentare. Sono stati presentati anche i risultati di una ricerca di Alan Westin, grande esperto statunitense di privacy e presidente del Centro per la ricerca sociale e legale, sulla fiducia dei consumatori nei confronti della gestione dei dati da parte del settore pubblico
e privato, e quella dell’EPIC che, mettendo a confronto i sistemi giuridici europei e statunitensi, ha evidenziato come intere aree geografiche (dal Sud Africa, all’America Latina, all’area Asia-Pacifico) si stanno dotando di discipline sulla privacy guardando proprio al modello europeo.
22.9.1999
106
Comunicati stampa
COMUNICATO N. 36
Uso dei dati a fini personali o per pubblicazione di articoli e saggi: i ricorsi al Garante sono inammissibili e infondati
Le decisioni adottate dal Garante riguardo a due recenti ricorsi presentati all’Autorità, hanno
messo in luce come non vi sia sempre una piena consapevolezza, da parte dei ricorrenti, dei limiti precisi entro i quali può essere utilizzato questo strumento di tutela.
In un primo caso è stato dichiarato inammissibile il ricorso proposto dal presidente di un’associazione che aveva lamentato l’invio di una lettera da parte di un ex esponente a tutti i membri del
consiglio nazionale dell’associazione stessa.
L’Autorità ha, infatti, ricordato che la disciplina sulla protezione dei dati personali non si applica ai trattamenti effettuati da persone fisiche per fini esclusivamente personali (art. 3, legge n.
675). Le vicende rappresentate nella lettera riguardavano l’operato dello stesso autore della lettera in
un controverso periodo della vita associativa. La nota era stata spedita ai responsabili nazionali dell’associazione sulla base di indirizzari liberamente disponibili, in quanto messi in vendita dall’associazione medesima. La comunicazione di tali dati era pertanto legittima e avveniva in un contesto
occasionale tale da escludere le ipotesi di comunicazione sistematica o di diffusione di dati che avrebbero comportato l’applicazione della legge sulla privacy.
In un secondo caso è stato dichiarato infondato il ricorso con il quale una persona, che si lamentava del contenuto di un libro che ricostruiva le vicende di un’organizzazione della quale la stessa aveva fatto parte, chiedeva che il Garante ordinasse la cancellazione o il blocco dei dati personali
riguardanti l’interessato contenuti nel saggio in questione.
Al riguardo va però ricordato che l’articolo 25, comma 4 bis della legge n. 675 estende le norme relative all’esercizio della professione giornalistica anche “ai trattamenti temporanei finalizzati
esclusivamente alla pubblicazione occasionale di articoli, saggi e altre manifestazioni del pensiero”.
Pertanto, per quanto attiene a informativa, consenso, diffusione dei dati e trattamento dei dati
sensibili, trovano applicazione le specifiche disposizioni concernenti l’esercizio della professione
giornalistica contenute negli articoli 12, 20 e 25 della legge n. 675, nonché nell’apposito codice deontologico della categoria.
Rispetto al contenuto dell’opera in questione è stato quindi vagliato il solo rispetto dei limiti del
diritto di cronaca posti a tutela della riservatezza ed in particolare dell’essenzialità dell’informazione
riguardo a fatti di interesse pubblico. Nel caso specifico tali limiti non risultavano violati e di conseguenza il ricorso è stato dichiarato infondato.
23.9.1999
COMUNICATO N. 37
Per tutelare un diritto si può accedere anche ai dati sensibili
Per l’accesso alla documentazione amministrativa contenente dati sulla salute di un terzo non
deve essere richiesta un’autorizzazione al Garante, ma è sufficiente rispettare le norme sulla trasparenza amministrativa.
Il principio è stato affermato dal Garante in risposta ad un avvocato che si era rivolto all’Autorità richiedendo l’autorizzazione ad accedere ad alcuni documenti amministrativi attestanti la situazione sanitaria di una certa persona, allo scopo di impugnare una sentenza emessa a favore di
quest’ultima, su un diritto di proprietà, e a svantaggio del proprio assistito.
L’amministrazione che li deteneva si era infatti rifiutata di rilasciare la documentazione adducendo a motivazione la necessità di salvaguardare la sfera di riservatezza di quella data persona.
107
Comunicati stampa
L’Autorità, tornando sul tema dei rapporti tra accesso e riservatezza, ha ribadito anzitutto che la
legge sulla privacy non incide sulle vigenti disposizioni in materia di accesso ai documenti della pubblica amministrazione (legge n. 241 del 1990), anche per quanto riguarda la conoscibilità di informazioni di natura sensibile, come appunto quelle sulla salute. Ciò è stato, peraltro, confermato anche
da un recente decreto legislativo sul trattamento dei dati sensibili da parte dei soggetti pubblici (il n.
135 del 1999), il quale ha definitivamente chiarito la necessità per le amministrazioni, anche nel caso di documenti recanti queste informazioni più delicate, di seguire le regole sulla trasparenza amministrativa, le quali permettono comunque al cittadino di visionare tali documenti quando vi sia la
motivata esigenza di far valere i propri diritti in sede giudiziaria.
Per quanto riguarda il successivo trattamento di questi dati da parte del richiedente o del suo
legale, l’Autorità ha distinto due ipotesi.
Nel primo caso, ha precisato che quando il cittadino intende utilizzare le informazioni personali acquisite, per fini esclusivamente personali, com’è, appunto, per la difesa dei propri diritti, le disposizioni della legge sulla privacy non si applicano. La persona non necessita, dunque, di alcuna
autorizzazione del Garante, anche in relazione a dati sensibili, né deve acquisire il consenso dell’interessato purché i dati vengano conservati con modalità adeguate e non vengono comunicati sistematicamente all’esterno o, peggio ancora, diffusi attraverso pubblicazioni o per via telematica su
Internet.
Nel secondo caso, l’Autorità ha ricordato che il trattamento effettuato da un avvocato, nell’esercizio della sua professione, per finalità di difesa di diritti in sede giudiziaria, è già stato autorizzato
con un provvedimento di carattere generale emanato dal Garante, e che verrà rinnovato alla fine di
questo mese (aut. n. 4/1998, pubblicata sulla G.U. del 1 ottobre 1998).
23.9.1999
COMUNICATO N. 38
L’Autorità presente al COM-PA 1999
Il Garante per la protezione dei dati personali è stato rappresentato alla sesta edizione del COMPA, Salone della comunicazione pubblica, dal Prof. Giuseppe Santaniello, vicepresidente dell’Autorità, il quale è intervenuto in qualità di relatore al convegno “Accesso, privacy e comunicazione:
diritti, doveri, incongruenze”. Il Prof. Santaniello, dopo aver illustrato l’evoluzione del rapporto tra
pubblica amministrazione e diritti dei cittadini, quale nuova frontiera dei diritti fondamentali dell’individuo, ha evidenziato come, nei due anni e mezzo di attività, l’Ufficio del Garante, quando si è
trovato ad esaminare casi che riguardavano la pubblica amministrazione, ha bilanciato il diritto all’accesso con quello della riservatezza dando prevalente rilievo al valore della trasparenza dell’azione amministrativa.
A sostegno della sua affermazione, il vice presidente dell’Autorità Garante ha ricordato la recente vicenda della dismissione del patrimonio degli enti previdenziali. In questo caso, l’Autorità ha
dato piena facoltà alla pubblica amministrazione di pubblicare i nominativi.
Santaniello ha, poi, rilevato come il diritto alla riservatezza incroci, nella sua attuazione, altri diritti costituzionalmente garantiti e come sia necessario, pertanto, un sapiente bilanciamento tra le diverse posizioni soggettive. Il codice deontologico dei giornalisti ha recepito pienamente tali esigenze,
tanto da poter dire che oggi costituisce un punto cardine di riferimento per gli operatori dei media.
Santaniello ha trattato in modo particolare l’altro nucleo tematico del convegno, e cioè la comunicazione pubblica, tracciandone la tipologia in comunicazione istituzionale, politica ed elettorale. In
questa varia tipologia, ha affermato il vice presidente del Garante, la comunicazione pubblica, nelle
sue molteplici forme, è pur sempre tenuta ad osservare i principi generali di tutela dei diritti fondamentali del cittadino e quindi, anche della privacy, così come questi diritti emergono dalla legge 675
e nei successivi decreti legislativi di modifica.
108
Comunicati stampa
Infine, ha illustrato le tre generazioni di diritti individuate da Norberto Bobbio: la prima, quella dei diritti di libertà, è rivolta a limitare il potere pubblico e a riservare all’individuo e ai gruppi sociali una sfera di autonomia. La seconda è quella dei diritti sociali che presuppongono un fare positivo
da parte dello Stato. La terza è quella dei nuovi diritti di terza generazione tra i quali, si possono annoverare il diritto di cronaca, il diritto di accesso e il diritto alla riservatezza e all’identità personale.
Tali diritti di terza generazione, ha concluso Santaniello, costituiscono il vero terreno di confronto tra
il vecchio e il nuovo millennio ed è su di essi che si misura il progresso storico.
23.9.1999
COMUNICATO N. 39
L’Autorità Garante incontra le associazioni dei consumatori
Il Collegio del Garante per la protezione dei dati personali ha incontrato le associazioni dei consumatori che fanno parte del Consiglio nazionale dei consumatori e degli utenti.
Scopo dell’incontro, che prosegue una prassi avviata dall’Autorità fin dalla sua istituzione, un
proficuo confronto per una messa a punto comune dell’agenda di interventi da porre in essere per assicurare la tutela dei diritti dei cittadini e il loro effettivo esercizio.
Durante i lavori, che si sono svolti in un clima di grande collaborazione, sono stati approfonditi diversi temi: dall’uso non corretto o strumentale della legge sulla privacy, sia da parte delle pubbliche amministrazioni sia del mondo delle imprese, al marketing diretto; dalle indagini di mercato
ai rapporti con il sistema bancario; dal diritto alla trasparenza al mondo delle telecomunicazioni, a
Internet e al commercio elettronico, anche alla luce del dibattito che si sta svolgendo tra Europa e Stati Uniti sui flussi di dati transfrontalieri.
Su quest’ultimo tema, i rappresentanti delle associazioni hanno assicurato un preciso impegno,
volto a porre la questione della difesa dei cittadini e dei consumatori a livello nazionale e comunitario.
Particolare attenzione è stata posta, inoltre, sulla prossima elaborazione dei codici di condotta
previsti per diversi settori dalla legge n. 675 del 1996.
Autorità ed associazioni hanno concordato sulla necessità di assicurare ai consumatori e agli
utenti precise garanzie di tutela, in particolare nel nascente quadro della “società dell’informazione”,
nel quale la raccolta e la gestione sempre più massicce di dati rappresentano uno snodo cruciale per
lo sviluppo economico, sociale e culturale e, al tempo stesso, un terreno su cui costruire i nuovi diritti di cittadinanza.
28.9.1999
COMUNICATO N. 40
Le spese del ricorso al Garante sono a carico di chi perde
Una società locale fornitrice di illuminazione e riscaldamento a gas dovrà pagare le spese per il
ricorso presentato da un cittadino ed accolto dal Garante.
Il cittadino aveva chiesto di conoscere quali suoi dati personali fossero in possesso della società.
Alla mancata risposta della società, il cittadino aveva fatto seguire, ai sensi della legge sulla privacy,
il ricorso al Garante.
Come già più volte avvenuto, l’Autorità ha invitato la società a dare soddisfazione all’interessato e, dopo aver avuto riscontro in tal senso, ha posto a carico della società, su richiesta del ricorrente, l’ammontare delle spese e dei diritti riguardanti il ricorso. Le spese sono state determinate dal
Garante in una ridotta misura forfettaria.
28.9.1999
109
Comunicati stampa
COMUNICATO N. 41
Non si può essere cancellati dal registro dei battezzati
Un cittadino si è rivolto al Garante per chiedere la cancellazione dei suoi dati personali contenuti nei registri dei battezzati, conservati presso un archivio parrocchiale.
Egli aveva scritto una lettera ai responsabili dell’archivio competente, chiedendo la cancellazione dagli elenchi parrocchiali dei battezzati del proprio nome e della data del battesimo ricevuto,
motivando tale richiesta con le proprie convinzioni di ateo. I responsabili ecclesiastici avevano risposto di non poter dar corso alla cancellazione, in considerazione del fatto che l’attestazione del battesimo non può essere cancellata in quanto il battesimo si è effettivamente verificato. Avevano,
comunque, assicurato di aver allegato la richiesta di cancellazione all’atto di battesimo dell’interessato.
Secondo il ricorrente, tale comportamento lederebbe la legge sulla privacy che garantisce ai cittadini il diritto di ottenere non solo l’aggiornamento, la rettificazione o l’integrazione dei dati, ma anche “la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di
legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati” (art. 13, comma 1). Questo, anche in considerazione
del fatto che il ricorrente aveva interrotto ogni rapporto con la Chiesa cattolica da oltre quarant’anni
e non vi sarebbe stata, dunque, alcuna ragione tale da giustificare la conservazione dei suoi dati. La
mancata cancellazione dei dati e delle “tracce” del battesimo, inoltre, avrebbe leso, secondo l’interessato, il suo “diritto all’oblio” e il suo diritto a tutelare la propria identità.
Il collegio del Garante ha dichiarato infondato il ricorso sotto diversi profili.
Il primo riguarda il fatto che un cittadino può chiedere l’aggiornamento, la rettificazione o eventualmente l’integrazione solo qualora si tratti di dati inesatti o incompleti e nel caso in questione non
si può parlare di inesattezza o incompletezza dei dati.
Il secondo profilo attiene alla vera e propria cancellazione dei dati. Questa può essere richiesta
solo quando i dati siano trattati in violazione di legge, oppure quando la loro conservazione non sia
necessaria in relazione agli scopi per i quali i dati sono stati raccolti e utilizzati. Anche in questo caso, i dati relativi all’avvenuto battesimo del ricorrente non risultano trattati in violazione di legge e
rientrano nelle attività pertinenti alla confessione religiosa.
Per quanto riguarda, in particolare, la conservazione dei dati, l’Autorità ha precisato che il battesimo è anche un atto giuridico costitutivo che segna l’ingresso di una persona nella Chiesa cattolica e la sua registrazione non costituisce solo un dato relativo all’aderente, ma rappresenta un aspetto
della vita dell’organismo ecclesiale.
In altre parole, la Chiesa, al pari, ad esempio di quanto può avvenire per vari organismi associativi (partiti, sindacati, associazioni ecc.), non può cancellare la traccia di un avvenimento che storicamente l’ha riguardata, se non a costo di modificare la stessa rappresentazione della propria realtà.
La questione, ha sottolineato il Garante, assume anche un rilievo particolare in considerazione
del fatto che i registri dei battezzati rientrano fra i registri ufficiali della Chiesa cattolica e, quindi, di
un ordinamento “indipendente e sovrano” rispetto a quello dello Stato italiano, così come previsto
dall’art. 7 della Costituzione.
L’aspirazione degli interessati, dunque, a vedere correttamente rappresentata la propria attuale
immagine riguardo alle convinzioni originarie o a quelle dei genitori, può, semmai, essere adeguatamente soddisfatta da misure diverse dalla pura e semplice cancellazione.
In questa prospettiva, tenuta ferma la necessità di rendere comunque inequivocabile la volontà
dell’interessato di dare una esatta rappresentazione di sé, il Garante ha suggerito alcune modalità pratiche attraverso le quali soddisfare tale esigenza. In alcuni casi l’interessato potrà richiedere, ad
esempio, una semplice annotazione a margine del dato contenuto nel registro; in altri, potrà, invece,
richiedere di allegare agli atti la propria motivazione.
Il Garante ha anche evidenziato come dalla volontà dell’interessato di abbandonare una determinata comunità discenda l’impossibilità di continuare a considerare la persona in questione come
appartenente al gruppo, all’associazione o, come nel caso specifico, alla confessione religiosa. In que-
110
Comunicati stampa
sta prospettiva, risulta impedita la possibilità di continuare a considerare la persona fra gli aderenti
alla comunità in caso, ad esempio, di eventuali attività, anche di tipo statistico, che debbano essere
compiute successivamente a detta manifestazione di volontà.
L’Autorità ha, pertanto, concluso affermando che il registro di battesimo, in riferimento ad una
persona che si dichiari ateo, non contiene dati trattati illecitamente, né notizie inesatte o incomplete,
ma documenta un fatto realmente avvenuto.
Resta, peraltro, impregiudicato il diritto del ricorrente a far integrare questa documentazione
che lo riguarda, anche senza dover specificare le motivazioni che sono alla base della sua richiesta.
28.9.1999
COMUNICATO N. 42
Rinnovate le autorizzazioni generali per chi utilizza dati sensibili e giudiziari
Il Garante per la protezione dei dati personali ha rinnovato ieri le sei autorizzazioni generali al
trattamento dei dati sensibili e quella sul trattamento dei dati giudiziari, recentemente integrata.
Scadono oggi, infatti, 30 settembre, i termini di efficacia di tali provvedimenti a carattere generale che l’Autorità, in base alla legge n. 675 del 1996, ha rilasciato nei confronti di diverse categorie
di soggetti che, per ragioni di lavoro o di ufficio, utilizzano taluni dati di carattere giudiziario e sensibile (salute, origini etniche e razziali, opinioni politiche, convinzioni religiose, appartenenza a partiti o sindacati).
Destinatari delle autorizzazioni sono i soggetti privati e gli enti pubblici economici, quali, ad
esempio, datori di lavoro, operatori sanitari, associazioni e fondazioni, liberi professionisti, investigatori privati.
Per quanto riguarda le amministrazioni pubbliche, le autorizzazioni operano nei confronti delle
strutture sanitarie pubbliche che trattano dati sanitari.
Il rinnovo, che prosegue l’opera di semplificazione posta in atto dal Garante, consente alle diverse categorie di soggetti interessati di non dover richiedere apposite autorizzazioni caso per caso,
essendo sufficiente che si osservino le prescrizioni contenute nei provvedimenti generali.
Rispetto alle precedenti, le nuove autorizzazioni non contengono mutamenti sostanziali, fatte
salve alcune lievi modifiche determinate dall’entrata in vigore di recenti normative.
I provvedimenti, in corso di pubblicazione sulla Gazzetta Ufficiale, avranno efficacia a partire
dal 1 ottobre 1999 e fino al 30 settembre 2000.
30.9.1999
111
AUTORIZZAZIONI GENERALI
PER IL TRATTAMENTO DEI DATI SENSIBILI,
PUBBLICATE SULLA GAZZETTA UFFICIALE N. 232,
SERIE GENERALE DEL 2 OTTOBRE 1999
Autorizzazioni generali
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
PROVVEDIMENTO 29 SETTEMBRE 1999
Autorizzazione n. 1/1999 al trattamento dei dati sensibili nei rapporti di lavoro
In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe
Santaniello, vicepresidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti, e del
dott. Giovanni Buttarelli, segretario generale;
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni, in materia
di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali;
Visto, in particolare, l’art. 22, comma 1, della citata legge n. 675/1996, il quale individua come
“sensibili” i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare
lo stato di salute e la vita sessuale;
Visto lart. 22, comma 3 e comma 3-bis, della medesima legge, rispettivamente modificato e introdotto dall’art. 5 del decreto legislativo 11 maggio 1999, n. 135;
Considerato che i soggetti privati e gli enti pubblici economici possono trattare tali dati solo previa autorizzazione di questa Autorità e con il consenso scritto degli interessati;
Considerato che il Garante può rilasciare le autorizzazioni, anche d’ufficio, nei confronti di singoli titolari o, con provvedimenti generali, di determinate categorie di titolari o di trattamenti (art. 41,
comma 7, legge n. 675/1996, come sostituito dall’art. 4, comma 1, del decreto legislativo 9 maggio
1997, n. 123);
Vista l’autorizzazione del Garante adottata il 30 settembre 1998 relativa al trattamento dei dati
“sensibili” nei rapporti di lavoro, pubblicata nella Gazzetta Ufficiale della Repubblica italiana il 1º
ottobre 1998 e avente efficacia fino al 30 settembre 1999;
Visti i risultati positivi conseguiti con le autorizzazioni generali numeri 1/1997 e 1/1998, che
sono risultate uno strumento idoneo per prescrivere ed uniformare le misure e gli accorgimenti a garanzia degli interessati, tenendo conto dei diritti e degli interessi meritevoli di tutela degli operatori
che verrebbero penalizzati dalla necessaria richiesta di singoli provvedimenti autorizzatori;
Ritenuto, pertanto, opportuno rilasciare nuove autorizzazioni generali anche al fine di proseguire la semplificazione degli adempimenti che la legge n. 675/1996 pone a carico di determinate categorie di titolari, nonché di assicurare una migliore funzionalità dell’ufficio del Garante e di
armonizzare le prescrizioni da impartire con le autorizzazioni, alla luce dell’esperienza maturata;
Vista la legge 5 febbraio 1999, n. 25, che stabilisce il termine del 27 febbraio 2000 per l’emanazione di alcuni decreti legislativi finalizzati a completare la disciplina sulla protezione dei dati personali in attuazione della direttiva comunitaria 95/46/CE;
Ritenuto pertanto opportuno rilasciare nuove autorizzazioni provvisorie a tempo determinato, in
conformità a quanto previsto dal regolamento concernente l’organizzazione e il funzionamento dell’ufficio di questa autorità emanato con decreto del Presidente della Repubblica 31 marzo 1998,
n. 501;
Ritenuta la necessità che anche le nuove autorizzazioni prendano in considerazione le finalità
dei trattamenti, le categorie di dati, di interessati e di destinatari della comunicazione e della diffusione, nonché il periodo di conservazione dei dati stessi, in quanto la disciplina di tali aspetti è prevista dalla legge n. 675/1996 ai fini dell’applicazione delle norme sull’esonero dall’obbligo della
notificazione e sulla notificazione semplificata (art. 7, comma 5-quater);
Considerata la necessità di garantire il rispetto di alcuni princìpi volti a ridurre al minimo i rischi di danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, nonché per la dignità delle persone, specie per quanto riguarda la riservatezza e l’identità
personale, princìpi valutati anche sulla base delle raccomandazioni adottate in materia dal Consiglio
d’Europa;
115
Autorizzazioni generali
Considerato che un elevato numero di trattamenti di dati sensibili è effettuato ai fini dell’adempimento di obblighi contabili, retributivi, previdenziali, assistenziali, fiscali e assicurativi nell’ambito dei rapporti di lavoro, e che è pertanto necessario che tali trattamenti formino oggetto di
un’autorizzazione generale ai sensi dell’art. 41, comma 7, della legge n. 675/1996;
Visto l’art. 35 della legge n. 675/1996 che sanziona penalmente la violazione delle prescrizioni
della presente autorizzazione;
Visto il regolamento recante norme sulle misure minime di sicurezza previsto dall’art. 15, comma 2, della legge n. 675/1996 e adottato con decreto del Presidente della Repubblica 28 luglio 1999,
n. 318;
Visto l’art. 14 del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Visti gli atti d’ufficio;
Viste le osservazioni dell’ufficio formulate dal segretario generale ai sensi dell’art. 7, comma 2,
lettera a), del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Relatore il prof. Stefano Rodotà;
AUTORIZZA
il trattamento dei dati sensibili di cui all’art. 22, comma 1, della legge n. 675/1996, finalizzato
alla gestione dei rapporti di lavoro, alle condizioni di seguito indicate.
1) Ambito di applicazione
La presente autorizzazione è rilasciata senza richiesta di parte:
a) alle persone fisiche e giuridiche, alle imprese, agli enti, alle associazioni e agli organismi che
sono parte di un rapporto di lavoro o che utilizzano prestazioni lavorative anche atipiche, parziali o
temporanee ai sensi della legge 24 giugno 1997, n. 196, o che comunque conferiscono un incarico
professionale alle figure indicate al successivo punto 2, lettere b) e c)
b) ad organismi paritetici e ad altri organismi che gestiscono osservatori in materia di lavoro, previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi anche aziendali.
L’autorizzazione riguarda anche l’attività svolta dal medico competente in materia di igiene e di
sicurezza del lavoro, in qualità di libero professionista o di dipendente dei soggetti di cui alla lettera
a) o di strutture convenzionate.
2) Interessati ai quali i dati si riferiscono
Il trattamento può riguardare i dati sensibili attinenti:
a) a lavoratori dipendenti, anche se prestatori di lavoro temporaneo o in rapporto di tirocinio,
apprendistato e formazione e lavoro, ovvero ad associati anche in compartecipazione e, se necessario
in base ai punti 3) e 4), ai relativi familiari e conviventi;
b) a consulenti e a liberi professionisti, ad agenti, rappresentanti e mandatari;
c) a soggetti che effettuano prestazioni coordinate e continuative o ad altri lavoratori autonomi
in rapporto di collaborazione con i soggetti di cui al punto 1);
d) a candidati all’instaurazione dei rapporti di lavoro di cui alle lettere precedenti;
e) a persone fisiche che ricoprono cariche sociali nelle persone giuridiche, negli enti, nelle associazioni e negli organismi di cui al punto 1);
f) a terzi danneggiati nell’esercizio dell’attività lavorativa o professionale dai soggetti di cui alle precedenti lettere.
3) Finalità del trattamento
Il trattamento dei dati sensibili deve essere necessario:
a) per adempiere o per esigere l’adempimento di specifici obblighi o per eseguire specifici compiti previsti da leggi, dalla normativa comunitaria da regolamenti o da contratti collettivi anche aziendali, in particolare ai fini del rispetto della normativa in materia di previdenza ed assistenza anche
116
Autorizzazioni generali
integrativa, o in materia di igiene e sicurezza del lavoro o della popolazione, nonché in materia fiscale, di tutela della salute, dell’ordine e della sicurezza pubblica;
b) anche fuori dei casi di cui alla lettera a), in conformità alla legge e per scopi determinati e
legittimi, ai fini della tenuta della contabilità o della corresponsione di stipendi, assegni, premi, altri
emolumenti, liberalità o benefici accessori;
c) per il perseguimento delle finalità di salvaguardia della vita o dell’incolumità fisica dell’interessato o di un terzo;
d) per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, nonché in
sede amministrativa o nelle procedure di arbitrato e di conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi, sempreché, qualora i dati siano
idonei a rivelare lo stato di salute e la vita sessuale, il diritto da far valere o difendere sia di rango pari a quello dell’interessato;
e) per l’esercizio del diritto di accesso ai documenti amministrativi, nel rispetto di quanto stabilito dalle leggi e dai regolamenti in materia;
f) per adempiere ad obblighi derivanti da contratti di assicurazione finalizzati alla copertura dei
rischi connessi alla responsabilità del datore di lavoro in materia di igiene e di sicurezza del lavoro e
di malattie professionali o per i danni cagionati a terzi nell’esercizio dell’attività lavorativa o professionale;
g) per garantire le pari opportunità.
4) Categorie di dati
Il trattamento può avere per oggetto i dati strettamente pertinenti agli obblighi, ai compiti o alle finalità di cui al punto 3), e in particolare:
a) nell’ambito dei dati idonei a rivelare le convinzioni religiose, filosofiche o di altro genere, ovverol’adesione ad associazioni od organizzazioni a carattere religioso o filosofico, i dati concernenti la
fruizione di permessi e festività religiose o di servizi di mensa, nonché la manifestazione, nei casi previsti dalla legge, dell’obiezione di coscienza;
b) nell’ambito dei dati idonei a rivelare le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere politico o sindacale, i dati concernenti l’esercizio di funzioni
pubbliche e di incarichi politici (sempreché il trattamento sia effettuato ai fini della fruizione di permessi o di periodi di aspettativa riconosciuti dalla legge o, eventualmente, dai contratti collettivi anche aziendali), ovvero l’organizzazione di pubbliche iniziative, nonché i dati inerenti alle attività o
agli incarichi sindacali, ovvero alle trattenute per il versamento delle quote di servizio sindacale o
delle quote di iscrizione ad associazioni od organizzazioni politiche o sindacali;
c) nell’ambito dei dati idonei a rivelare lo stato di salute, i dati raccolti in riferimento a malattie anche professionali, invalidità, infermità, gravidanza, puerperio o allattamento, ad infortuni, ad
esposizioni a fattori di rischio, all’idoneità psico-fisica a svolgere determinate mansioni o all’appartenenza a categorie protette.
5) Modalità di trattamento
Fermi restando gli obblighi previsti dagli articoli 9, 15 e 17 della legge n. 675/1996 e dal decreto del Presidente della Repubblica n. 318/1999, concernenti i requisiti dei dati personali, la sicurezza e i limiti posti ai trattamenti automatizzati volti a definire il profilo o la personalità degli
interessati, il trattamento dei dati sensibili deve essere effettuato unicamente con logiche e mediante
forme di organizzazione dei dati strettamente correlate agli obblighi, ai compiti o alle finalità di cui al
punto 3).
Restano inoltre fermi gli obblighi di acquisire il consenso scritto dell’interessato e di informare
l’interessato medesimo, in conformità a quanto previsto dagli articoli 10 e 22 della legge n. 675/1996.
6) Conservazione dei dati
Nel quadro del rispetto dell’obbligo previsto dall’art. 9, comma 1, lettera e) della legge n.
675/1996, i dati sensibili possono essere conservati per un periodo non superiore a quello necessa-
117
Autorizzazioni generali
rio per adempiere agli obblighi o ai compiti di cui al punto 3), ovvero per perseguire le finalità ivi
menzionate. A tal fine, anche mediante verifiche periodiche, deve essere verificata costantemente la
stretta pertinenza e la non eccedenza dei dati rispetto al rapporto, alla prestazione o all’incarico in
corso, da instaurare o cessati.
7) Comunicazione e diffusione dei dati
I dati sensibili possono essere comunicati e, ove necessario diffusi, nei limiti strettamente pertinenti agli obblighi, ai compiti o alle finalità di cui al punto 3), a soggetti pubblici o privati, ivi compresi organismi sanitari, casse e fondi di previdenza ed assistenza sanitaria integrativa anche
aziendale, agenzie di intermediazione, associazioni di datori di lavoro, liberi professionisti, società
esterne titolari di un autonomo trattamento di dati e familiari dell’interessato.
Ai sensi dell’art. 23, comma 4, della leggen. 675/1996, i dati idonei a rivelare lo stato di salute possono essere diffusi, solo se necessario per finalità di prevenzione, accertamento o repressione
dei reati, con l’osservanza delle norme che regolano la materia.
I dati idonei a rivelare la vita sessuale non possono essere diffusi.
8) Richieste di autorizzazione
I titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione
non sono tenuti a presentare una richiesta di autorizzazione a questa autorità, qualora il trattamento
che si intende effettuare sia conforme alle prescrizioni suddette.
Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento
medesimo.
Il Garante non prenderà in considerazione richieste di autorizzazione per trattamenti da effettuarsi in difformità alle prescrizioni del presente provvedimento, salvo che il loro accoglimento sia
giustificato da circostanze del tutto particolari o da situazioni eccezionali non considerate nella presente autorizzazione.
9) Norme finali
Restano fermi gli obblighi previsti da norme di legge o di regolamento, ovvero dalla normativa
comunitaria, che stabiliscono divieti o limiti in materia di trattamento di dati personali e, in particolare, dalle disposizioni contenute:
a) nell’art. 8 della legge 20 maggio 1970, n. 300, che vieta al datore di lavoro ai fini dell’assunzione e nello svolgimento del rapporto di lavoro, di effettuare indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della
valutazione dell’attitudine professionale del lavoratore;
b) nell’art. 6 della legge 5 giugno 1990, n. 135, che vieta ai datori di lavoro lo svolgimento di
indagini volte ad accertare, nei dipendenti o in persone prese in considerazione per l’instaurazione di
un rapporto di lavoro, l’esistenza di uno stato di sieropositività;
c) nelle norme in materia di pari opportunità o volte a prevenire discriminazioni.
10) Efficacia temporale
La presente autorizzazione ha efficacia a decorrere dal 1º ottobre 1999, fino al 30 settembre
2000.
La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 29 settembre 1999
IL PRESIDENTE
Rodotà
118
Autorizzazioni generali
PROVVEDIMENTO 29 SETTEMBRE 1999
Autorizzazione n. 2/1999 al trattamento dei dati idonei a rilevare lo stato di salute e la vita sessuale
In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe
Santaniello, vicepresidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti, e del
dott. Giovanni Buttarelli, segretario generale;
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni, in materia
di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali;
Visto, in particolare, l’art. 22, comma 1, della legge n. 675/1996, il quale individua come “sensibili”, tra l’altro, i dati personali idonei a rivelare lo stato di salute o la vita sessuale;
Visto l’art. 23 della legge n. 675/1996, come modificato dall’art. 2 del decreto legislativo 30 luglio 1999, n. 282;
Visto l’art. 22, comma 3 e comma 3-bis, della legge n. 675/1996, rispettivamente modificato ed
introdotto dall’art. 5 del decreto legislativo 11 maggio 1999, n. 135;
Visto l’art. 17 del decreto legislativo 11 maggio 1999, n. 135, e successive modificazioni ed integrazioni;
Visto l’art. 23, comma 1-bis, della legge n. 675/1996 che prevede “modalità semplificate per le
informative di cui all’art. 10 della medesima legge e per la prestazione del consenso nei confronti di
organismi sanitari pubblici, di organismi sanitari e di esercenti le professioni sanitarie convenzionati o accreditati dal Servizio sanitario nazionale, nonché per il trattamento dei dati da parte dei medesimi soggetti”; considerato che analoghe modalità semplificate sono previste dall’art. 17, comma 3,
del decreto legislativo n. 135/1999;
Considerato che il Garante può rilasciare l’autorizzazione anche d’ufficio, nei confronti di singoli titolari oppure, con provvedimenti generali, di determinate categorie di titolari o di trattamenti
(art. 41, comma 7, della legge n. 675/1996, modificato dall’art. 4, comma 1, del decreto legislativo 9
maggio 1997, n. 123);
Vista l’autorizzazione del Garante adottata il 30 settembre 1998 relativa al trattamento dei dati
idonei a rivelare lo stato di salute e la vita sessuale, pubblicata nella Gazzetta Ufficiale della Repubblica italiana il 1º ottobre 1998 e avente efficacia fino al 30 settembre 1999;
Visti i risultati positivi conseguiti con le autorizzazioni generali numeri 2/1997 e 2/1998, che
sono risultate uno strumento idoneo per prescrivere ed uniformare le misure e gli accorgimenti a garanzia degli interessati, tenendo conto dei diritti e degli interessi meritevoli di tutela degli operatori
che verrebbero penalizzati dalla necessaria richiesta di singoli provvedimenti autorizzatori;
Ritenuto, pertanto, opportuno rilasciare nuove autorizzazioni generali anche al fine di proseguire la semplificazione degli adempimenti che la legge n. 675/1996 pone a carico di determinate categorie di titolari, nonché di assicurare una migliore funzionalità dell’ufficio del Garante e di
armonizzare le prescrizioni da impartire con le autorizzazioni, alla luce dell’esperienza maturata;
Considerato che il trattamento dei dati genetici da chiunque effettuato previa autorizzazione del
Garante può essere proseguito sino al rilascio dell’autorizzazione prevista dall’art. 17, comma 5, del
decreto legislativo n. 135/1999, e successive modificazioni ed integrazioni, che sarà emanata entro
dodici mesi dalla data di entrata in vigore del medesimo decreto n. 135/1999;
Vista la legge 5 febbraio 1999, n. 25, che stabilisce il termine del 27 febbraio 2000 per l’emanazione di alcuni decreti legislativi finalizzati a completare la disciplina sulla protezione dei dati personali in attuazione della direttiva comunitaria n. 95/46/CE;
Ritenuto pertanto opportuno rilasciare nuove autorizzazioni provvisorie a tempo determinato, in
conformità anche a quanto previsto dal regolamento concernente l’organizzazione e il funzionamento
dell’ufficio di questa autorità emanato con il decreto del Presidente della Repubblica 31 marzo 1998,
n. 501;
Ritenuta la necessità che le nuove autorizzazioni prendano anch’esse in considerazione le finalità dei trattamenti, le categorie di dati, di interessati e di destinatari della comunicazione e della diffusione, nonché il periodo di conservazione dei dati stessi, in quanto la disciplina di tali aspetti è
119
Autorizzazioni generali
prevista dalla leggen. 675/1996 ai fini dell’applicazione delle norme sull’esonero dall’obbligo della
notificazione e sulla notificazione semplificata (art. 7, comma 5-quater);
Considerata la necessità di garantire il rispetto di alcuni princìpi volti a ridurre al minimo i rischi di danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, nonché per la dignità delle persone, specie per quanto riguarda la riservatezza e l’identità
personale, princìpi valutati anche sulla base delle raccomandazioni adottate in materia di dati sanitari dal Consiglio d’Europa ed in particolare dalla raccomandazione N.R (97) 5 in base alla quale i
dati sanitari devono essere trattati, di regola, solo nell’ambito dell’assistenza sanitaria o sulla base di
regole di segretezza di efficacia pari a quelle previste in tale ambito;
Considerato che un numero elevato di trattamenti di dati idonei a rivelare lo stato di salute è effettuato per finalità di prevenzione e di cura, o che riguardano, in particolare, la gestione di servizi
socio-sanitari, la ricerca scientifica e la fornitura di prestazioni, beni o servizi all’interessato, e che è
pertanto necessario che tali trattamenti formino oggetto di un’autorizzazione generale ai sensi dell’art.
41, comma 7, della legge n. 675/1996;
Visto l’art. 35 della legge n. 675/1996 che sanziona penalmente la violazione delle prescrizioni
della presente autorizzazione;
Visto il regolamento recante norme sulle misure minime di sicurezza previsto dall’art. 15, comma
2, della legge n. 675/1996 e adottato con decreto del Presidente della Repubblica 28 luglio 1999, n. 318;
Visto l’art. 14 del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Visti gli atti d’ufficio;
Viste le osservazioni dell’ufficio formulate dal segretario generale ai sensi dell’art. 7, comma 2,
lettera a), del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Relatore il prof. Ugo De Siervo;
AUTORIZZA
a) gli esercenti le professioni sanitarie a trattare i dati idonei a rivelare lo stato di salute, qualora i dati e le operazioni siano indispensabili per tutelare l’incolumità fisica e la salute di un terzo o
della collettività, e il consenso non sia prestato o non possa essere prestato per effettiva irreperibilità;
b) gli organismi e le case di cura private, nonché ogni altro soggetto privato, a trattare con il consenso i dati idonei a rivelare lo stato di salute e la vita sessuale;
c) gli organismi sanitari pubblici, istituiti anche presso università, ivi compresi i soggetti pubblici allorché agiscano nella qualità di autorità sanitarie, a trattare i dati idonei a rivelare lo stato di
salute, anche per il perseguimento delle finalità di rilevante interesse pubblico individuate dall’art.
17, comma 1, del decreto legislativo n. 135/1999, qualora ricorrano contemporaneamente le seguenti condizioni:
1) il trattamento sia finalizzato alla tutela dell’incolumità fisica e della salute di un terzo o della collettività;
2) manchi il consenso (art. 23, comma 1, ultimo periodo, legge n. 675/1996), in quanto non sia
prestato o non possa essere prestato per effettiva irreperibilità;
3) il trattamento non sia previsto da una disposizione di legge che specifichi, ai sensi dell’art.
22, comma 3, della legge n. 675/1996, come modificato dall’art. 5 del decreto legislativo n. 135/1999,
i tipi di dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite.
Il consenso, ove previsto, è acquisito in conformità anche a quanto previsto dall’art. 23, commi
1-bise 1-quater, della legge n. 675/1996 e dall’art. 17,comma 3, del decreto legislativo n. 135/1999,
e successive modificazioni ed integrazioni.
1) Ambito di applicazione e finalità del trattamento
1.1. L’autorizzazione è rilasciata, anche senza richiesta:
a) ai medici-chirurghi, ai farmacisti, agli odontoiatri, agli psicologi e agli altri esercenti le professioni sanitarie iscritti in albi o in elenchi;
120
Autorizzazioni generali
b) al personale sanitario infermieristico, tecnico e della riabilitazione che esercita l’attività in
regime di libera professione;
c) alle istituzioni e agli organismi sanitari privati, anche quando non operino in rapporto con il
Servizio sanitario nazionale.
In tali casi, l’autorizzazione è rilasciata al fine di consentire ai destinatari di adempiere o di esigere l’adempimento di specifici obblighi o di eseguire specifici compiti previsti da leggi, dalla normativa comunitaria o da regolamenti, in particolare in materia di igiene e di sanità pubblica, di
prevenzione delle malattie professionali e degli infortuni, di diagnosi e cura, ivi compresi i trapianti
di organi e tessuti, di riabilitazione degli stati di invalidità e di inabilità fisica e psichica, di profilassi delle malattie infettive e diffusive, di tutela della salute mentale, di assistenza farmaceutica e di assistenza sanitaria alle attività sportive o di accertamento, in conformità alla legge, degli illeciti
previsti dall’ordinamento sportivo. Il trattamento può riguardare anche la compilazione di cartelle cliniche, di certificati e di altri documenti di tipo sanitario, ovvero di altri documenti relativi alla gestione amministrativa la cui utilizzazione sia necessaria per i fini suindicati.
Qualora il perseguimento di tali fini richieda l’espletamento di compiti di organizzazione o di
gestione amministrativa, i destinatari della presente autorizzazione devono esigere che i responsabili e gli incaricati del trattamento preposti a tali compiti osservino le stesse regole di segretezza alle
quali sono sottoposti i medesimi destinatari della presente autorizzazione, nel rispetto di quanto previsto dall’art. 17, comma 3, del decreto legislativo n. 135/1999.
1.2. L’autorizzazione è rilasciata, altresì, ai seguenti soggetti:
a) alle persone fisiche o giuridiche, agli enti, alle associazioni e agli altri organismi privati, per scopi di ricerca scientifica, anche statistica, finalizzata alla tutela della salute dell’interessato, di terzi o della collettività in campo medico, biomedico o epidemiologico, allorché si debba intraprendere uno studio
delle relazioni tra i fattori di rischio e la salute umana, o indagini su interventi sanitari di tipo diagnostico, terapeutico o preventivo, ovvero sull’utilizzazione di strutture socio-sanitarie, e la disponibilità di dati solo anonimi su campioni della popolazione non permetta alla ricerca di raggiungere i suoi scopi. In tali
casi occorre acquisire il consenso (fermo restando quanto previsto dall’art. 23, comma 1, ultimo periodo,
della legge n. 675/1996 e dall’art. 5, comma 1, del decreto legislativo 30 luglio 1999, n. 282), e il trattamento successivo alla raccolta non deve permettere di identificare gli interessati anche indirettamente,
salvo che l’abbinamento al materiale di ricerca dei dati identificativi dell’interessato sia temporaneo ed
essenziale per il risultato della ricerca, e sia motivato, altresì, per iscritto. I risultati della ricerca non possono essere diffusi se non in forma anonima. Resta fermo quanto previsto dai decreti legislativi 30 luglio
1999, numeri 281 e 282 in materia di ricerca scientifica e di ricerca medica ed epidemiologica;
b) alle organizzazioni di volontariato o assistenziali, limitatamente ai dati e alle operazioni indispensabili per perseguire scopi determinati e legittimi previsti, in particolare, nelle rispettive norme statutarie;
c) alle comunità di recupero e di accoglienza, alle case di cura e di riposo, limitatamente ai dati e alle operazioni indispensabili per perseguire scopi determinati e legittimi previsti, in particolare,
nelle rispettive norme statutarie;
d) agli enti, alle associazioni e alle organizzazioni religiose riconosciute, ivi comprese le confessioni religiose e le comunità religiose, relativamente ai dati e alle operazioni indispensabili per
perseguire scopi determinati e legittimi previsti, ove esistenti, nelle rispettive norme statutarie, salvo
quanto previsto dall’art. 22, comma 1-bis, della legge n. 675/1996;
e) alle persone fisiche e giuridiche, alle imprese, agli enti, alle associazioni e ad altri organismi,
limitatamente ai dati e alle operazioni indispensabili per adempiere agli obblighi anche precontrattuali derivanti da un rapporto di fornitura all’interessato di beni, di prestazioni o di servizi. Se il rapporto intercorre con istituti di credito, imprese assicurative o riguarda valori mobiliari, devono
considerarsi indispensabili i soli dati ed operazioni necessari per fornire specifici prodotti o servizi
richiesti dall’interessato. Il rapporto può riguardare anche la fornitura di strumenti di ausilio per la
vista, per l’udito o per la deambulazione;
f) alle persone fisiche e giuridiche, agli enti, alle associazioni e agli altri organismi che gestiscono impianti o strutture sportive, limitatamente ai dati e alle operazioni indispensabili per accertare l’idoneità fisica alla partecipazione ad attività sportive o agonistiche;
121
Autorizzazioni generali
g) alle persone fisiche e giuridiche e ad altri organismi, limitatamente ai dati dei beneficiari e
dei donatori e alle operazioni indispensabili all’effettuazione di trapianti di organi e tessuti, nonché
di donazioni disangue.
1.3. La presente autorizzazione è rilasciata, altresì, per il trattamento dei dati idonei a rivelare lo
stato di salute e la vita sessuale, quando il trattamento sia necessario:
a) ai fini dello svolgimento delle investigazioni di cui all’art. 38 delle norme di attuazione, di
coordinamento e transitorie del codice di procedura penale, approvate con decreto legislativo 28 luglio 1989, n. 271, e successive modificazioni;
b) per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, nonché in
sede amministrativa o nelle procedure di arbitrato e di conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi, sempreché il diritto sia di rango
pari a quello dell’interessato, e i dati siano trattati esclusivamente per tali finalità e per il periodo
strettamente necessario per il loro perseguimento.
2) Categorie di dati oggetto di trattamento
Il trattamento può avere per oggetto i dati strettamente pertinenti agli obblighi, ai compiti o alle finalità di cui al punto 1), e può comprendere le informazioni relative a stati di salute pregressi.
Devono essere considerati sottoposti all’ambito di applicazione della presente autorizzazione,
anche i seguenti dati:
a) le informazioni relative ai nascituri, che devono essere trattate alla stregua dei dati personali in conformità a quanto previsto dalla citata raccomandazione N.R (97) 5 del Consiglio d’Europa;
b) i dati genetici, limitatamente alle informazioni e alle operazioni indispensabili per tutelare
l’incolumità fisica e la salute dell’interessato, di un terzo o della collettività, sulla base del consenso
ai sensi degli articoli 22 e 23 della legge n. 675/1996. In mancanza del consenso, se il trattamento è
volto a tutelare l’incolumità fisica e la salute di un terzo o della collettività, il trattamento può essere
iniziato o proseguito solo previa apposita autorizzazione del Garante. I dati genetici non possono essere trattati dai soggetti di cui al punto 1.2, lettere c), d), e) ed f). Le informative all’interessato previste dall’art. 10 della legge n. 675/1996 devono porre in particolare evidenza il diritto
dell’interessato di opporsi, per motivi legittimi, al trattamento dei dati genetici che lo riguardano. Fino alla data in cui sarà efficace l’apposita autorizzazione per il trattamento dei dati genetici prevista
dall’art. 17, comma 5, del decreto n. 135/1999, e successive modificazioni ed integrazioni, i dati genetici trattati per fini di prevenzione, di diagnosi o di terapia nei confronti dell’interessato, ovvero per
finalità di ricerca scientifica, possono essere utilizzati unicamente per tali finalità o per consentire all’interessato di prendere una decisione libera e informata, ovvero per finalità probatorie in sede civile o penale, in conformità alla legge.
3) Modalità di trattamento
Fermi restando gli obblighi previsti dagli articoli 9, 15 e 17 della legge n. 675/1996 e dal decreto del Presidente della Repubblica n. 318/1999, concernenti i requisiti dei dati personali, la sicurezza e i limiti posti ai trattamenti automatizzati volti a definire il profilo o la personalità degli
interessati, il trattamento dei dati sensibili deve essere effettuato unicamente con logiche e mediante
forme di organizzazione dei dati strettamente correlate agli obblighi, ai compiti o alle finalità sopra
elencati.
Restano inoltre fermi gli obblighi di acquisire il consenso dell’interessato e di informarlo in
conformità a quanto previsto dagli articoli 10, 22 e 23 della legge n. 675/1996. Per le informazioni
relative ai nascituri, il consenso è prestato dalla gestante.
4) Conservazione dei dati
Nel quadro del rispetto dell’obbligo previsto dall’articolo 9, comma 1, lettera e), della legge n.
675/1996, i dati possono essere conservati, per un periodo non superiore a quello necessario per
adempiere agli obblighi o ai compiti di cui al punto 3), ovvero per perseguire le finalità ivi menzio-
122
Autorizzazioni generali
nate. A tal fine deve essere verificata periodicamente la stretta pertinenza e la non eccedenza dei dati rispetto al rapporto, alla prestazione o all’incarico in corso, da instaurare o cessati.
5) Comunicazione e diffusione dei dati
Ai sensi dell’art. 23, comma 4, della legge n. 675/1996, i dati idonei a rivelare lo stato di salute possono essere diffusi solo se necessario per finalità di prevenzione, accertamento o repressione
dei reati, con l’osservanza delle norme che regolano la materia.
I dati idonei a rivelare la vita sessuale non possono essere diffusi, salvo il caso in cui la diffusione riguardi dati resi manifestamente pubblici dall’interessato e per i quali l’interessato stesso non
abbia manifestato successivamente la sua opposizione per motivi legittimi.
I dati idonei a rivelare lo stato di salute, esclusi i dati genetici, possono essere comunicati, nei
limiti strettamente pertinenti agli obblighi, ai compiti e alle finalità di cui al punto 1), a soggetti pubblici e privati, ivi compresi i fondi e le casse di assistenza sanitaria integrativa, le aziende che svolgono attività strettamente correlate all’esercizio di professioni sanitarie o alla fornitura all’interessato
di beni, di prestazioni o di servizi, gli istituti di credito e le imprese assicurative, le associazioni od
organizzazioni di volontariato e i familiari dell’interessato.
6) Richieste di autorizzazione
I titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione
non sono tenuti a presentare una richiesta di autorizzazione a questa Autorità, qualora il trattamento
che si intende effettuare sia conforme alle prescrizioni suddette.
Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento
medesimo.
Il Garante non prenderà in considerazione richieste di autorizzazione per trattamenti da effettuarsi in difformità alle prescrizioni del presente provvedimento, salvo che il loro accoglimento sia
giustificato da circostanze del tutto particolari o da situazioni eccezionali non considerate nella presente autorizzazione, relative, ad esempio, al caso in cui la raccolta del consenso comporti un impiego di mezzi manifestamente sproporzionato in ragione, in particolare, del numero di persone
interessate.
7) Norme finali
Restano fermi gli obblighi previsti da norme di legge o di regolamento o dalla normativa comunitaria che stabiliscono divieti o limiti più restrittivi in materia di trattamento di dati personali e, in
particolare:
a) dall’art. 5, comma 2, della legge 5 giugno 1990, n. 135, il quale prevede che la rilevazione
statistica della infezione da HIV deve essere effettuata con modalità che non consentano l’identificazione della persona;
b) dall’art. 11 della legge 22 maggio 1978, n. 194, il quale dispone che l’ente ospedaliero, la
casa di cura o il poliambulatorio nei quali è effettuato un intervento di interruzione di gravidanza devono inviare al medico provinciale competente per territorio una dichiarazione che non faccia menzione dell’identità della donna;
c) dall’art. 734-bis del codice penale, il quale vieta la divulgazione non consensuale delle generalità o dell’immagine della persona offesa da atti di violenza sessuale.
Restano altresì fermi gli obblighi di legge che vietano la rivelazione senza giusta causa e l’impiego a proprio o altrui profitto delle notizie coperte dal segreto professionale, nonché gli obblighi
deontologici previsti, in particolare, dal codice di deontologia medica adottato il 3 ottobre 1998 dalla Federazione nazionale degli ordini dei medici chirurghi e degli odontoiatri.
Resta ferma, infine, la possibilità di diffondere dati anonimi anche aggregati e di includerli, in
particolare, nelle pubblicazioni a contenuto scientifico o finalizzate all’educazione, alla prevenzione
o all’informazione di carattere sanitario.
123
Autorizzazioni generali
8) Efficacia temporale
La presente autorizzazione ha efficacia a decorrere dal 1º ottobre 1999, fino al 30 settembre
2000.
La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 29 settembre 1999
IL PRESIDENTE
Rodotà
124
Autorizzazioni generali
PROVVEDIMENTO 29 SETTEMBRE 1999
Autorizzazione n. 3/1999 al trattamento dei dati sensibili da parte degli organismi
di tipo associativo e delle fondazioni
In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe
Santaniello, vicepresidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti e del
dott. Giovanni Buttarelli, segretario generale;
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni, in materia
di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali;
Visto, in particolare, l’art. 22, comma 1, della citata legge n. 675/1996, il quale individua come
“sensibili” i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i datipersonali idonei a rivelare
lo stato di salute e la vitasessuale;
Visto l’art. 22, comma 3 e comma 3-bis, della medesima legge, rispettivamente modificato e introdotto dall’art. 5 del decreto legislativo 11 maggio 1999, n. 135;
Considerato che i soggetti privati e gli enti pubblici economici possono trattare tali dati solo previa autorizzazione di questa Autorità e con il consenso scritto degli interessati;
Considerato che il Garante può rilasciare le autorizzazioni anche d’ufficio, nei confronti di singoli titolari oppure, con provvedimenti generali, di determinate categorie di titolari o di trattamenti
(art. 41, comma 7, della legge n. 675/1996, modificato dall’art. 4, comma 1, del decreto legislativo 9
maggio 1997, n. 123);
Vista l’autorizzazione del Garante rilasciata il 30 settembre 1998 relativa al trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni, pubblicata nella Gazzetta
Ufficiale della Repubblica italiana il 1º ottobre 1998 e avente efficacia fino al 30 settembre 1999;
Visti i risultati positivi conseguiti con le autorizzazioni generali numeri 3/1997 e 3/1998, che
sono risultate uno strumento idoneo per prescrivere ed uniformare le misure e gli accorgimenti a garanzia degli interessati, tenendo conto dei diritti e degli interessi meritevoli di tutela degli operatori
che verrebbero penalizzati dalla necessaria richiesta di singoli provvedimenti autorizzatori;
Ritenuto, pertanto, opportuno rilasciare nuove autorizzazioni generali anche al fine di proseguire la semplificazione degli adempimenti che la legge n. 675/1996 pone a carico di determinate categorie di titolari, nonché di assicurare una migliore funzionalità dell’Ufficio del Garante e di
armonizzare le prescrizioni da impartire con le autorizzazioni, alla luce dell’esperienza maturata;
Vista la legge 5 febbraio 1999, n. 25, che stabilisce il termine del 27 febbraio 2000 per l’emanazione di alcuni decreti legislativi finalizzati a completare la disciplina sulla protezione dei dati personali in attuazione della direttiva comunitaria 95/46/CE;
Ritenuto pertanto opportuno rilasciare nuove autorizzazioni provvisorie a tempo determinato, in
conformità a quanto previsto dal regolamento concernente l’organizzazione e il funzionamento dell’ufficio di questa autorità emanato con decreto del Presidente della Repubblica 31 marzo 1998, n.
501;
Ritenuta, tuttavia, la necessità che anche le nuove autorizzazioni prendano anch’esse in considerazione le finalità dei trattamenti, le categorie di dati, di interessati e di destinatari della comunicazione e della diffusione, nonché il periodo di conservazione dei dati stessi, in quanto la disciplina
di questi aspetti è prevista dalla legge n. 675/1996 ai fini dell’applicazione delle norme sull’esonero
dall’obbligo della notificazione e sulla notificazione semplificata (art. 7, comma 5-quater);
Considerata la necessità di garantire il rispetto di alcuni princìpi volti a ridurre al minimo i rischi di danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, nonché per la dignità delle persone, specie per quanto riguarda la riservatezza e l’identità
personale, princìpi valutati anche sulla base delle raccomandazioni adottate in materia dal Consiglio
d’Europa;
Considerato che un numero elevato di trattamenti di dati sensibili è effettuato da enti ed organizzazioni di tipo associativo e da fondazioni, per la realizzazione di scopi determinati e legittimi in-
125
Autorizzazioni generali
dividuati dall’atto costitutivo, dallo statuto o da un contratto collettivo e che è pertanto necessario che
tali trattamenti formino oggetto di un’autorizzazione generale ai sensi dell’articolo 41, comma 7, della legge n. 675/1996;
Visto l’art. 35 della legge n. 675/1996 che sanziona penalmente la violazione delle prescrizioni
della presente autorizzazione;
Visto il regolamento recante norme sulle misure minime di sicurezza previsto dall’art. 15, comma 2, della legge n. 675/1996 e adottato con decreto del Presidente della Repubblica 28 luglio 1999,
n. 318;
Visto l’art. 14 del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Visti gli atti d’ufficio;
Viste le osservazioni dell’ufficio formulate dal segretario generale ai sensi dell’art. 7, comma 2,
lettera a), del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Relatore il prof. Ugo De Siervo;
AUTORIZZA
il trattamento dei dati sensibili di cui all’art. 22, comma 1, della legge n. 675/1996 da parte di
associazioni, fondazioni, comitati ed altri organismi di tipo associativo, alle condizioni di seguito indicate:
1) Ambito di applicazione e finalità del trattamento
La presente autorizzazione è rilasciata senzarichiesta:
a) alle associazioni anche non riconosciute, ivi comprese le confessioni religiose e le comunità
religiose, salvo quanto previsto dall’art. 22, comma 1-bis, come introdotto dall’art. 5, comma 1 del decreto legislativo n. 135/1999, i partiti e i movimenti politici, le associazioni e le organizzazioni sindacali, i patronati, le associazioni di categoria, le organizzazioni assistenziali o di volontariato, nonché
le federazioni e confederazioni nelle quali tali soggetti sono riuniti in conformità, ove esistenti, allo
statuto, all’atto costitutivo o ad un contratto collettivo;
b) alle fondazioni, ai comitati e ad ogni altro ente, consorzio od organismo senza scopo di lucro,
dotati o meno di personalità giuridica, ivi comprese le organizzazioni non lucrative di utilità sociale
(Onlus);
c) alle cooperative sociali e alle società di mutuo soccorso di cui, rispettivamente, alle leggi 8
novembre 1991, n. 381, e 15 aprile 1886, n. 3818.
L’autorizzazione è rilasciata altresì agli istituti scolastici anche di tipo non associativo, limitatamente al trattamento dei dati idonei a rivelare le convinzioni religiose e per le operazioni strettamente necessarie per l’applicazione dell’art. 310 del decreto legislativo 16 aprile 1994, n. 297.
L’autorizzazione è rilasciata per il perseguimento di scopi determinati e legittimi individuati dall’atto costitutivo, dallo statuto o dal contratto collettivo, ove esistenti, e in particolare per il perseguimento di finalità culturali, religiose, politiche, sindacali, sportive o agonistiche di tipo non
professionistico, di istruzione anche con riguardo alla libertà di scelta dell’insegnamento religioso, di
formazione, di ricerca scientifica, di patrocinio, di tutela dell’ambiente e delle cose d’interesse artistico
e storico, di salvaguardia dei diritti civili, nonché di beneficenza, assistenza sociale o socio-sanitaria.
La presente autorizzazione è rilasciata, altresì, per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di
conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti
collettivi, sempreché il diritto da far valere o difendere sia di rango pari a quello dell’interessato, e i
dati siano trattati esclusivamente per tale finalità e per il periodo strettamente necessario per il suo
perseguimento.
La presente autorizzazione è rilasciata inoltre per l’esercizio del diritto di accesso ai documenti amministrativi, nei limiti di quanto stabilito dalle leggi e dai regolamenti in materia.
Per i fini predetti, il trattamento dei dati sensibili può riguardare anche la tenuta di registri e
scritture contabili, di elenchi, di indirizzari e di altri documenti necessari per la gestione ammini-
126
Autorizzazioni generali
strativa dell’associazione, della fondazione, del comitato o del diverso organismo, o per l’adempimento di obblighi fiscali, ovvero per la diffusione di riviste, bollettini e simili.
Qualora i soggetti di cui alle lettere a), b) e c) si avvalgano di persone giuridiche o di altri organismi con scopo di lucro per perseguire le predette finalità, ovvero richiedano ad essi la fornitura di beni, prestazioni o servizi, la presente autorizzazione è rilasciata anche ai medesimi organismi
e persone giuridiche. I soggetti di cui alle lettere a), b) e c), possono comunicare alle persone giuridiche e agli organismi con scopo di lucro, titolari di un autonomo trattamento, i soli dati sensibili strettamente indispensabili per le attività di effettivo ausilio alle predette finalità, con particolare
riferimento alle generalità degli interessati e ad indirizzari, sulla base di un atto scritto che individui con precisione le informazioni comunicate, le modalità del successivo utilizzo e le particolari
misure di sicurezza adottate. La dichiarazione scritta di consenso degli interessati deve porre tale
circostanza in particolare evidenza, e deve recare la precisa menzione dei titolari del trattamento e
delle finalità da essi perseguite. Le persone giuridiche e gli organismi con scopo di lucro, oltre a
quanto previsto nei punti 3) e 5) in tema di pertinenza e di non eccedenza dei dati, possono trattare i dati così acquisiti solo per scopi di ausilio alle finalità predette, ovvero per scopi amministrativi e contabili.
2) Interessati ai quali i dati si riferiscono
Il trattamento può riguardare i dati sensibili attinenti:
a) agli associati, ai soci e, se strettamente indispensabile per il perseguimento delle finalità di
cui al punto 1), ai relativi familiari e conviventi;
b) agli aderenti, ai sostenitori o sottoscrittori, nonché ai soggetti che presentano richiesta di ammissione o di adesione o che hanno contatti regolari con l’associazione, la fondazione o il diverso organismo;
c) ai soggetti che ricoprono cariche sociali o onorifiche;
d) ai beneficiari, agli assistiti e ai fruitori delle attività o dei servizi prestati dall’associazione o
dal diverso organismo, limitatamente ai soggetti individuabili in base allo statuto o all’atto costitutivo, ove esistenti;
e) agli studenti iscritti o che hanno presentato domanda di iscrizione agli istituti di cui al punto 1) e, qualora si tratti di minori, ai loro genitori o a chi ne esercita la potestà;
f) ai lavoratori dipendenti degli associati e dei soci, limitatamente ai dati idonei a rivelare l’adesione a sindacati, associazioni od organizzazioni a carattere sindacale e alle operazioni necessarie
per adempiere a specifici obblighi derivanti da contratti collettivi anche aziendali.
3) Categorie di dati oggetto di trattamento
L’autorizzazione non riguarda i dati idonei a rivelare lo stato di salute e la vita sessuale, ai quali si riferisce l’autorizzazione generale n. 2/1999.
Il trattamento può avere per oggetto gli altri dati sensibili di cui all’art. 22, comma 1, della legge 31 dicembre 1996, n. 675, idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose,
filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale.
Il trattamento può riguardare i dati e le operazioni indispensabili per perseguire le finalità di cui
al punto 1) o, comunque, per adempiere ad obblighi derivanti dalla legge, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi.
A tal fine, anche mediante controlli periodici, deve essere verificata costantemente la stretta
pertinenza e la non eccedenza dei dati rispetto ai predetti obblighi e finalità, in particolare per quanto riguarda i dati che rivelano le opinioni e le intime convinzioni.
4) Modalità di trattamento
Fermi restando gli obblighi previsti dagli articoli 9, 15, 17 e 28 della legge n. 675/1996 e dal
decreto del Presidente della Repubblica n. 318/1999, concernenti i requisiti dei dati personali, la sicurezza, i limiti posti ai trattamenti automatizzati volti a definire il profilo o la personalità degli inte-
127
Autorizzazioni generali
ressati, nonché il trasferimento all’estero dei dati, il trattamento dei dati sensibili deve essere effettuato unicamente con logiche e mediante forme di organizzazione dei dati strettamente correlate alle
finalità, agli scopi e agli obblighi di cui al punto 1).
Restano inoltre fermi gli obblighi di acquisire il consenso scritto dell’interessato e di informare
l’interessato medesimo, in conformità a quanto previsto dagli articoli 10 e 22 della legge n. 675/1996.
5) Conservazione dei dati
Nel quadro del rispetto dell’obbligo previsto dall’art. 9, comma 1, lettera e), della legge n.
675/1996, i dati sensibili possono essere conservati per un periodo non superiore a quello necessario per perseguire le finalità e gli scopi di cui al punto 1), ovvero per adempiere agli obblighi ivi menzionati.
Le verifiche di cui al punto 3) devono riguardare anche la pertinenza e la non eccedenza dei dati rispetto all’attività svolta dall’interessato o al rapporto cheintercorre tra l’interessato e l’associazione, la fondazione, il comitato o il diverso organismo, tenendo presente il genere di prestazione, di
beneficio o di servizio offerto all’interessato e la posizione di quest’ultimo rispetto all’associazione,
alla fondazione, al comitato o al diverso organismo.
6) Comunicazione e diffusione dei dati
I dati sensibili possono essere comunicati, e ove necessario diffusi, solo se strettamente pertinenti alle finalità, agli scopi e agli obblighi di cui al punto 1) e tenendo presenti le altre prescrizioni
sopraindicate.
7) Richieste di autorizzazione
I titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione
non sono tenuti a presentare una richiesta di autorizzazione a questa Autorità, qualora il trattamento
che si intende effettuare sia conforme alle prescrizioni suddette.
Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento
medesimo.
Il Garante non prenderà in considerazione richieste di autorizzazione per trattamenti da effettuarsi in difformità alle prescrizioni del presente provvedimento, salvo che il loro accoglimento sia
giustificato da circostanze del tutto particolari o da situazioni eccezionali non considerate nella presente autorizzazione.
8) Norme finali
Restano fermi gli obblighi previsti da norme di legge, dalla normativa comunitaria o di regolamento che stabiliscono divieti o limiti in materia di trattamento di dati personali.
Restano inoltre ferme le norme volte a prevenire discriminazioni, e in particolare le disposizioni contenute nel decreto-legge 26 aprile 1993, n. 122, convertito, con modificazioni, dalla legge 25
giugno 1993, n. 205, in materia di discriminazione per motivi razziali, etnici, nazionali o religiosi e
di delitti di genocidio.
9) Efficacia temporale
La presente autorizzazione ha efficacia a decorrere dal 1º ottobre 1999, fino al 30 settembre
2000.
La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 29 settembre 1999
IL PRESIDENTE
Rodotà
128
Autorizzazioni generali
PROVVEDIMENTO 29 SETTEMBRE 1999
Autorizzazione n. 4/1999 al trattamento dei dati sensibilida parte dei liberi professionisti
In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe
Santaniello, vicepresidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti, e del
dott. Giovanni Buttarelli, segretario generale;
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni, in materia
di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali;
Visto, in particolare, l’art. 22, comma 1, della citata legge n. 675/1996, il quale individua come
“sensibili” i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare
lo stato di salute e la vita sessuale;
Visto l’art. 22, comma 3 e comma 3-bis, della medesima legge, rispettivamente modificato e introdotto dall’art. 5 del decreto legislativo 11 maggio 1999, n. 135;
Considerato che i soggetti privati e gli enti pubblici economici possono trattare tali dati solo previa autorizzazione di questa Autorità e con il consenso scritto degli interessati;
Considerato che il Garante può rilasciare le autorizzazioni, anche d’ufficio, nei confronti di singoli titolari o, con provvedimenti generali, di determinate categorie di titolari o di trattamenti (art. 41,
comma 7, della legge n. 675/1996, come sostituito dall’art. 4, comma 1, del decreto legislativo 9 maggio 1997, n. 123);
Vista l’autorizzazione del Garante adottata il 30 settembre 1998 relativa al trattamento dei dati
“sensibili” nei rapporti di lavoro, pubblicata nella Gazzetta Ufficiale della Repubblica italiana il 1º
ottobre 1998 e avente efficacia fino al 30 settembre 1999;
Visti i risultati positivi conseguiti con le autorizzazioni generali numeri 4/1997 e 4/1998, che
sono risultate uno strumento idoneo per prescrivere ed uniformare le misure e gli accorgimenti a garanzia degli interessati, tenendo conto dei diritti e degli interessi meritevoli di tutela degli operatori
che verrebbero penalizzati dalla necessaria richiesta di singoli provvedimenti autorizzatori;
Ritenuto, pertanto, opportuno rilasciare nuove autorizzazioni generali anche al fine di proseguire la semplificazione degli adempimenti che la legge n. 675/1996 pone a carico di determinate categorie di titolari, nonché di assicurare una migliore funzionalità dell’Ufficio del Garante e di
armonizzare le prescrizioni da impartire con le autorizzazioni, alla luce dell’esperienza maturata;
Vista la legge 5 febbraio 1999, n. 25, che stabilisce il termine del 27 febbraio 2000 per l’emanazione di alcuni decreti legislativi finalizzati a completare la disciplina sulla protezione dei dati personali in attuazione della direttiva comunitaria 95/46/CE;
Ritenuto pertanto opportuno rilasciare nuove autorizzazioni provvisorie a tempo determinato, in
conformità a quanto previsto dal regolamento concernente l’organizzazione e il funzionamento dell’ufficio di questa Autorità emanato con decreto del Presidente della Repubblica 31 marzo 1998,
n. 501;
Ritenuta la necessità che anche le nuove autorizzazioni prendano in considerazione le finalità
dei trattamenti, le categorie di dati, di interessati e di destinatari della comunicazione e della diffusione, nonché il periodo di conservazione dei dati stessi, in quantola disciplina di tali aspetti è prevista dalla legge n. 675/1996 ai fini dell’applicazione delle norme sull’esonero dall’obbligo della
notificazione e sulla notificazione semplificata (art. 7, comma 5-quater);
Considerata la necessità di garantire il rispetto di alcuni princìpi volti a ridurre al minimo i rischi di danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, nonché per la dignità delle persone, specie per quanto riguarda la riservatezza e l’identità
personale, princìpi valutati anche sulla base delle raccomandazioni adottate in materia dal Consiglio
d’Europa;
Considerato che un numero elevato di trattamenti di dati sensibili è effettuato da liberi professionisti iscritti in albi o elenchi professionali per l’espletamento delle rispettive attività professiona-
129
Autorizzazioni generali
li, e che è pertanto necessario che tali trattamenti formino oggetto di una autorizzazione generale ai
sensi dell’art. 41, comma 7, della legge n. 675/1996;
Visto l’art. 35 della legge n. 675/1996 che sanziona penalmente la violazione delle prescrizioni
della presente autorizzazione;
Visto il regolamento recante norme sulle misure minime di sicurezza previsto dall’art. 15, comma 2, della legge n. 675/1996 e adottato con decreto del Presidente della Repubblica 28 luglio 1999,
n. 318;
Visto l’art. 14 del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Visti gli atti d’ufficio;
Viste le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 7, comma 2,
lettera a), del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Relatore il prof. Giuseppe Santaniello;
AUTORIZZA
i liberi professionisti iscritti in albi o elenchi professionali a trattare i dati sensibili di cui all’art.
22,comma 1, della legge n. 675/1996, secondo le prescrizioni di seguito indicate.
1) Ambito di applicazione
L’autorizzazione è rilasciata, anche senza richiesta, ai liberi professionisti tenuti ad iscriversi in
albi o elenchi per l’esercizio di un’attività professionale in forma individuale o associata, o in conformità alle norme di attuazione dell’art. 24, comma 2, della legge 7 agosto 1997, n. 266, in tema di attività di assistenza e consulenza.
Sono equiparati ai liberi professionisti i soggetti iscritti nei corrispondenti albi o elenchi speciali istituiti anche ai sensi dell’art. 34 del regio decreto-legge 27 novembre 1933, n. 1578, e successive modificazioni e integrazioni, recante l’ordinamento della professione di avvocato.
L’autorizzazione è rilasciata anche ai sostituti e agli ausiliari che collaborano con il libero professionista ai sensi dell’art. 2232 del codice civile, ai praticanti e ai tirocinanti presso il libero professionista, qualora tali soggetti siano titolari di un autonomo trattamento o siano contitolari del
trattamento effettuato dal libero professionista.
Il presente provvedimento non si applica al trattamento dei dati sensibili effettuato:
a) dagli esercenti la professione sanitaria e dagli psicologi, dal personale sanitario infermieristico, tecnico e della riabilitazione, ai quali si riferisce l’autorizzazione generale n. 2/1999;
b) per la gestione delle prestazioni di lavoro o di collaborazione di cui si avvale il libero professionista o taluno dei soggetti sopraindicati, alla quale si riferisce l’autorizzazione generale n. 1/1999;
c) da soggetti privati che svolgono attività investigative, dai giornalisti, dai pubblicisti e dai praticanti giornalisti di cui agli articoli 26 e 33 della legge 3 febbraio 1963, n. 69.
2) Interessati ai quali i dati si riferiscono e categorie di dati
Il trattamento può riguardare i dati sensibili relativi ai clienti.
I dati sensibili relativi ai terzi possono essere trattati ove ciò sia strettamente indispensabile per
l’esecuzione di specifiche prestazioni professionali richieste dai clienti per scopi determinati e legittimi.
In ogni caso, i dati devono essere pertinenti e non eccedenti rispetto agli incarichi conferiti.
Il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale deve essere effettuato anche nel rispetto della citata autorizzazione generale n. 2/1999.
3) Finalità del trattamento
Il trattamento dei dati sensibili può essere effettuato ai soli fini dell’espletamento di un incarico che rientri tra quelli che il libero professionista può eseguire in base al proprio ordinamento professionale, e in particolare:
130
Autorizzazioni generali
a) per curare gli adempimenti in materia di lavoro, di previdenza ed assistenza sociale e fiscale nell’interesse di altri soggetti che sono parte di un rapporto di lavoro dipendente o autonomo, ai
sensi della legge 11 gennaio 1979, n. 12, che disciplina la professione di consulente del lavoro;
b) per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, nonché in
sede amministrativa o nelle procedure di arbitrato e di conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi;
c) ai fini dello svolgimento da parte del difensore nel procedimento penale delle investigazioni
di cui all’art. 38 delle norme di attuazione del codice di procedura penale, anche a mezzo di sostituti e di consulenti tecnici;
d) per l’esercizio del diritto di accesso ai documenti amministrativi, nei limiti di quanto stabilito dalle leggi e dai regolamenti in materia.
4) Modalità di trattamento
Il trattamento dei dati sensibili deve essere effettuato unicamente con logiche e mediante forme
di organizzazione dei dati strettamente correlate all’incarico conferito dal cliente.
Restano fermi gli obblighi previsti dagli articoli 9,15, 17 e 28 della legge n. 675/1996 e dal decreto del Presidente della Repubblica n. 318/1999, concernenti i requisiti dei dati personali, la sicurezza, i limiti posti ai trattamenti automatizzati volti a definire il profilo o la personalità degli
interessati, nonché il trasferimento all’estero dei dati.
Restano inoltre fermi gli obblighi:
a) di informare l’interessato ai sensi dell’art. 10, commi 1 e 3, della legge n. 675/1996, anche
quando i dati sono raccolti presso terzi;
b) di acquisire il consenso scritto.
Se i dati sono raccolti per l’esercizio di un diritto in sede giudiziaria o per le indagini difensive
(punto 3), lettere b) e c), l’informativa relativa ai dati raccolti presso terzi, e il consenso scritto, sono
necessari anche in riferimento ai dati idonei a rivelare lo stato di salute o la vita sessuale, solo se i
dati sono trattati per un periodo superiore a quello strettamente necessario al perseguimento di tali finalità, oppure per altre finalità con esse non incompatibili.
Le informative devono permettere all’interessato di comprendere agevolmente se il titolare del
trattamento è un singolo professionista o un’associazione di professionisti, ovvero se ricorre un’ipotesi di contitolarità tra più liberi professionisti.
Resta ferma la facoltà del libero professionista di designare quali responsabili o incaricati del
trattamento i sostituti, gli ausiliari, i tirocinanti e i praticanti presso il libero professionista, i quali, in
tal caso, possono avere accesso ai soli dati strettamente pertinenti alla collaborazione ad essi richiesta.
Analoga cautela deve essere adottata in riferimento agli incaricati del trattamento preposti all’espletamento di compiti amministrativi.
5) Conservazione dei dati
Nel quadro del rispetto dell’obbligo previsto dall’art. 9, comma 1, lettera e), della legge n.
675/1996, i dati sensibili possono essere conservati, per il periodo di tempo previsto da leggi, dalla
normativa comunitaria o da regolamenti e, comunque, per un periodo non superiore a quello strettamente necessario per adempiere agli incarichi conferiti.
A tal fine deve essere verificata la stretta pertinenza e la non eccedenza dei dati rispetto agli incarichi.
I dati acquisiti in occasione di precedenti incarichi possono essere mantenuti se pertinenti e non
eccedenti rispetto a successivi incarichi.
6) Comunicazione e diffusione dei dati
I dati sensibili possono essere comunicati e ove necessario diffusi, a soggetti pubblici o privati,
nei limiti strettamente pertinenti all’espletamento dell’incarico conferito e nel rispetto, in ogni caso,
del segreto professionale.
131
Autorizzazioni generali
I dati idonei a rivelare lo stato di salute possono essere diffusi solo se necessario per finalità di
prevenzione, accertamento o repressione dei reati, con l’osservanza delle norme che regolano la materia (art. 23, comma 4, della legge n. 675/1996).
I dati relativi alla vita sessuale non possono essere diffusi.
7) Richieste di autorizzazione
I titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione
non sono tenuti a presentare una richiesta di autorizzazione a questa Autorità, qualora il trattamento
che si intende effettuare sia conforme alle prescrizioni suddette.
Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento
medesimo.
Il Garante non prenderà in considerazione richieste di autorizzazione per trattamenti da effettuarsi in difformità alle prescrizioni del presente provvedimento, salvo che il loro accoglimento sia
giustificato da circostanze del tutto particolari o da situazioni eccezionali non considerate nella presente autorizzazione.
8) Norme finali
Restano fermi gli obblighi previsti da norme di legge o dalla normativa comunitaria o da regolamenti che stabiliscono divieti o limiti più restrittivi in materia di trattamento di dati personali e, in
particolare dalle leggi 20 maggio 1970, n. 300, e 5 giugno 1990, n. 135, nonché dalle norme volte a
prevenire discriminazioni.
Restano fermi, altresì, gli obblighi di legge che vietano la rivelazione senza giusta causa e l’impiego a proprio o altrui profitto delle notizie coperte dal segreto professionale, nonché gli obblighi
deontologici o di buona condotta relativi alle singole figure professionali.
9) Efficacia temporale
La presente autorizzazione ha efficacia a decorrere dal 1º ottobre 1999, fino al 30 settembre
2000.
La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 29 settembre 1999
IL PRESIDENTE
Rodotà
132
Autorizzazioni generali
PROVVEDIMENTO 29 SETTEMBRE 1999
Autorizzazione n. 5/1999 al trattamento dei dati sensibili da parte di diverse categorie di titolari
In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe
Santaniello, vicepresidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti, e del
dott. Buttarelli, segretario generale;
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni, in materia
di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali;
Visto, in particolare, l’art. 22, comma 1, della citata legge n. 675/1996, il quale individua come
“sensibili” i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare
lo stato di salute e la vitasessuale;
Visto l’art. 22, comma 3 e comma 3-bis, della medesima legge, rispettivamente modificato e introdotto dall’art. 5 del decreto legislativo 11 maggio 1999, n. 135;
Considerato che i soggetti privati e gli enti pubblici economici possono trattare tali dati solo previa autorizzazione di questa Autorità e con il consenso scritto degli interessati;
Considerato che il Garante può rilasciare l’autorizzazione anche d’ufficio, nei confronti di singoli titolari oppure, con provvedimenti generali, nei riguardi di determinate categorie di titolari o di
trattamenti (art. 41, comma 7, della legge n. 675/1996, modificato dall’art. 4, comma 1, del decreto
legislativo 9 maggio 1997, n. 123);
Vista l’autorizzazione del Garante adottata il 30 settembre 1998 relativa al trattamento dei dati
sensibili da parte di diverse categorie di titolari, pubblicata nella Gazzetta Ufficiale della Repubblica italiana il 1º ottobre 1998 e avente efficacia fino al 30 settembre 1999;
Visti i risultati positivi conseguiti con le autorizzazioni generali numeri 5/1997 e 5/1998, che
sono risultate uno strumento idoneo per prescrivere ed uniformare le misure e gli accorgimenti a garanzia degli interessati, tenendo conto dei diritti e degli interessi meritevoli di tutela degli operatori
che verrebbero penalizzati dalla necessaria richiesta di singoli provvedimenti autorizzatori;
Ritenuto, pertanto, opportuno rilasciare nuove autorizzazioni generali anche al fine di proseguire la semplificazione degli adempimenti che la legge n. 675/1996 pone a carico di determinate categorie di titolari, nonché di assicurare una migliore funzionalità dell’Ufficio del Garante e di
armonizzare le prescrizioni da impartire con le autorizzazioni, alla luce dell’esperienza maturata;
Vista la legge 5 febbraio 1999, n. 25, che stabilisce il termine del 27 febbraio 2000 per l’emanazione di alcuni decreti legislativi finalizzati a completare la disciplina sulla protezione dei dati personali in attuazione della direttiva comunitaria 95/46/CE;
Ritenuto pertanto opportuno rilasciare nuove autorizzazioni provvisorie a tempo determinato, in
conformità a quanto previsto dal regolamento concernente l’organizzazione e il funzionamento dell’ufficio di questa Autorità emanato con decreto del Presidente della Repubblica 31 marzo 1998,
n. 501;
Ritenuta la necessità che anche le nuove autorizzazioni prendano in considerazione le finalità
dei trattamenti, le categorie di dati, di interessati e di destinatari della comunicazione e della diffusione, nonché il periodo di conservazione dei dati stessi, in quanto la disciplina di tali aspetti è prevista dalla legge n. 675/1996 ai fini dell’applicazione delle norme sull’esonero dall’obbligo della
notificazione e sulla notificazione semplificata (art. 7, comma 5-quater);
Considerata la necessità di garantire il rispetto di alcuni princìpi volti a ridurre al minimo i rischi di danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, nonché per la dignità delle persone, specie per quanto riguarda la riservatezza e l’identità
personale, princìpi valutati anche sulla base delle raccomandazioni adottate in materia dal Consiglio
d’Europa;
Considerato che numerosi trattamenti di dati sensibili sono effettuati da persone fisiche o giuridiche operanti nei rami assicurativo, previdenziale, assistenziale, bancario, finanziario e di interme-
133
Autorizzazioni generali
diazione finanziaria, nel settore turistico e del trasporto di persone, delle ricerche di mercato, dei sondaggi di opinione o della selezione del personale, nonché della mediazione a fini matrimoniali, e che
è pertanto necessario che tali trattamenti formino oggetto di un’autorizzazione generale ai sensi dell’art. 41, comma 7, della legge n. 675/1996;
Visto l’art. 35 della legge n. 675/1996 che sanziona penalmente la violazione delle prescrizioni
della presente autorizzazione;
Visto il regolamento recante norme sulle misure minime di sicurezza previsto dall’art. 15, comma 2, della legge n. 675/1996 e adottato con decreto del Presidente della Repubblica 28 luglio 1999,
n. 318;
Visto l’art. 14 del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Visti gli atti d’ufficio;
Viste le osservazioni dell’ufficio formulate dal segretario generale ai sensi dell’art. 7, comma 2,
lettera a), del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Relatore l’ing. Claudio Manganelli;
AUTORIZZA
il trattamento dei dati sensibili di cui all’art. 22, comma 1, della legge n. 675/1996, fatta eccezione dei dati idonei a rivelare la vita sessuale, secondo le prescrizioni di seguito indicate.
Capo I
ATTIVITÀ BANCARIE, CREDITIZIE, ASSICURATIVE, DI GESTIONE DI FONDI,
DEL SETTORE TURISTICO, DEL TRASPORTO
1) Soggetti ai quali è rilasciata l’autorizzazione
a) imprese autorizzate all’esercizio dell’attività bancaria e creditizia o assicurativa ed organismi
che le riuniscono, anche se in stato di liquidazione coatta amministrativa;
b) società ed altri organismi che gestiscono fondi-pensione o di assistenza, ovvero fondi o casse
di previdenza;
c) società ed altri organismi di intermediazione finanziaria, in particolare per la gestione o l’intermediazione di fondi comuni di investimento o di valori mobiliari;
d) società ed altri organismi che emettono carte di credito o altri mezzi di pagamento, o che ne
gestiscono le relative operazioni;
e) imprese che svolgono autonome attività strettamente connesse e strumentali a quelle indicate nelle precedenti lettere, e relative alla rilevazione dei rischi, al recupero dei crediti, a lavorazioni
massive di documenti, alla trasmissione dati, all’imbustamento oallo smistamento della corrispondenza, nonché alla gestione di esattorie o tesorerie;
f) imprese che operano nel settore turistico o alberghiero o del trasporto, le agenzie di viaggio e
gli operatori turistici.
2) Finalità del trattamento
La presente autorizzazione è rilasciata, anche senza richiesta, limitatamente ai dati e alle operazioni indispensabili per adempiere agli obblighi anche precontrattuali che i soggetti di cui al punto 1) assumono, nel proprio settore di attività, al fine di fornire specifici beni, prestazioni o servizi
richiesti dall’interessato.
L’autorizzazione è rilasciata anche per adempiere o per esigere l’adempimento ad obblighi previsti, anche in materia fiscale, dalla legge, dalla normativa comunitaria, dai regolamenti, o dai contratti collettivi, o prescritti da autorità od organi di vigilanza o di controllo nei casi indicati dalla legge
o dai regolamenti.
134
Autorizzazioni generali
Il trattamento avente tali finalità può riguardare anche la tenuta di registri e scritture contabili,
di elenchi, di indirizzari e di altri documenti necessari per espletare compiti di organizzazione o di
gestione amministrativa di imprese, società, cooperative o consorzi.
3) Interessati ai quali i dati si riferiscono e categorie di dati trattati
Il trattamento può riguardare i dati sensibili attinenti ai soggetti ai quali sono forniti i beni, le
prestazioni o i servizi, in misura strettamente pertinente a quanto specificamente richiesto dall’interessato che abbia manifestato il proprio consenso scritto ed informato. Nei medesimi limiti, è possibile trattare dati relativi a terzi, allorché non sia altrimenti possibile procedere alla fornitura al
beneficiario dei beni, delle prestazioni o dei servizi.
Qualora il consenso sia richiesto nei confronti di distinti titolari di trattamenti, la manifestazione di volontà deve riferirsi specificamente a ciascuno di essi.
4) Comunicazione e diffusione dei dati
I dati sensibili possono essere comunicati nei limiti strettamente pertinenti al perseguimento
delle finalità di cui al punto 2), a soggetti pubblici o privati, ivi compresi fondi e casse di previdenza
ed assistenza o società controllate e collegate ai sensi dell’art. 2359 del codice civile, nonché, ove necessario, ai familiari dell’interessato.
I titolari del trattamento, anche ai fini dell’eventuale comunicazione ad altri titolari delle modifiche apportate ai dati in accoglimento di una richiesta dell’interessato (art. 13, comma 1, lettera c),
n. 4) legge n. 675/1996), devono conservare un elenco dei destinatari delle comunicazioni effettuate,
recante un’annotazione delle specifiche categorie di dati comunicati.
I dati sensibili non possono essere diffusi.
Capo II
SONDAGGI E RICERCHE
1) Soggetti ai quali è rilasciata l’autorizzazione e finalità del trattamento
Imprese, società, istituti ed altri organismi o soggetti privati, ai soli fini del compimento di sondaggi diopinione, di ricerche di mercato o di altre ricerchecampionarie.
Il sondaggio o la ricerca devono essere effettuati per scopi puntualmente determinati e legittimi, noti all’interessato.
2) Interessati ai quali i dati si riferiscono e categorie di dati trattati
Il trattamento può riguardare i dati attinenti ai soggetti che abbiano manifestato il proprio consenso informato e che abbiano risposto a questionari o ad interviste effettuate nell’ambito di sondaggi di opinione, di ricerche di mercato o di altre ricerche campionarie.
Il consenso deve essere manifestato in ogni caso per iscritto.
I dati personali di natura sensibile possono essere trattati solo se il trattamento di dati anonimi
non permette al sondaggio o alla ricerca di raggiungere i suoi scopi.
3) Conservazione dei dati
Il trattamento successivo alla raccolta non deve permettere di identificare gli interessati, neanche indirettamente, mediante un riferimento ad una qualsiasi altra informazione.
I dati personali, individuali o aggregati, devono essere distrutti o resi anonimi subito dopo la raccolta, e comunque non oltre la fase contestuale alla registrazione dei campioni raccolti. La registrazione deve
essere effettuata senza ritardo anche nel caso in cui i campioni siano stati raccolti in numero elevato.
Entro tale ambito temporale, resta ferma la possibilità per il titolare della raccolta, nonché per
i suoi responsabili o incaricati, di utilizzare i dati personali al fine di verificare presso gli interessati
la veridicità o l’esattezza dei campioni.
135
Autorizzazioni generali
4) Comunicazione dei dati
I dati sensibili non possono essere né comunicati né diffusi.
I campioni del sondaggio o della ricerca possono essere comunicati o diffusi in forma individuale o aggregata, sempreché non possano essere associati, anche a seguito di trattamento, ad interessati identificati o identificabili.
Capo III
ATTIVITÀ DI ELABORAZIONE DI DATI
1) Soggetti ai quali è rilasciata l’autorizzazione
Imprese, società, istituti ed altri organismi o soggetti privati, titolari autonomi di un’attività svolta nell’interesse di altri soggetti, e che presuppone l’elaborazione di dati ed altre operazioni di trattamento eseguite in materia di lavoro ovvero a fini contabili, retributivi, previdenziali, assistenziali e
fiscali.
2) Prescrizioni applicabili
Il trattamento è regolato dalle autorizzazioni:
a) n. 1/1999, rilasciata il 29 settembre 1999, concernente il trattamento dei dati sensibili a cura, in particolare, delle parti di un rapporto di lavoro qualora le finalità perseguite siano quelle indicate al punto 3) di tale autorizzazione;
b) n. 4/1999, rilasciata il 29 settembre 1999, riguardante il trattamento dei dati sensibili ad opera dei liberi professionisti e di altri soggetti equiparati, qualora le finalità perseguite siano quelle indicate al punto 3) di tale autorizzazione.
Qualora il consenso sia richiesto nei confronti di distinti titolari di trattamenti, la manifestazione di volontà deve riferirsi specificamente a ciascuno di essi.
Capo IV
ATTIVITÀ DI SELEZIONE DEL PERSONALE
1) Soggetti ai quali è rilasciata l’autorizzazione e finalità del trattamento
La presente autorizzazione è rilasciata, anche senza richiesta, alle imprese, alle società, agli istituti e agli altri organismi o soggetti privati, titolari autonomi di un’attività svolta anche di propria iniziativa nell’interesse di terzi, ai soli fini della ricerca o della selezione di personale.
2) Interessati ai quali i dati si riferiscono e categorie di dati trattati
Il trattamento può riguardare i dati idonei a rivelare lo stato di salute dei candidati all’instaurazione di un rapporto di lavoro o di collaborazione, solo se la loro raccolta è giustificata da scopi determinati e legittimi ed è strettamente indispensabile per instaurare talerapporto.
Il trattamento dei dati idonei a rivelare lo stato di salute dei familiari o dei conviventi dei candidati è consentito con il consenso scritto degli interessati e qualora sia finalizzato al riconoscimento di
uno specifico beneficio in favore dei candidati, in particolare ai fini di un’assunzione obbligatoria o del
riconoscimento di un titolo derivante da invalidità o infermità, da eventi bellici o da ragioni di servizio.
Qualora il consenso sia richiesto nei confronti di distinti titolari di trattamenti, la manifestazione di volontà deve riferirsi specificamente a ciascuno di essi.
Il trattamento deve riguardare le sole informazioni strettamente pertinenti a tale finalità, sia in
caso di risposta a questionari inviati anche per via telematica, sia nel caso in cui i candidati forniscano dati di propria iniziativa, in particolare attraverso l’invio di curricula.
136
Autorizzazioni generali
Non è consentito il trattamento dei dati:
a) idonei a rivelare le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche,
l’adesione a partiti, sindacati, associazioni a carattere religioso, filosofico, politico o sindacale, l’origine razziale ed etnica, e la vita sessuale;
b) inerenti a fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore;
c) in violazione delle norme in materia di pari opportunità o volte a prevenire discriminazioni.
3) Comunicazione e diffusione dei dati
I dati idonei a rivelare lo stato di salute possono essere comunicati nei limiti strettamente pertinenti al perseguimento delle finalità di cui ai punti 1) e 2), a soggetti pubblici o privati che siano
specificamente menzionati nella dichiarazione di consenso dell’interessato.
I dati sensibili non possono essere diffusi.
Capo V
MEDIAZIONE A FINI MATRIMONIALI
1) Soggetti ai quali è rilasciata l’autorizzazione
La presente autorizzazione è rilasciata, anche senza richiesta, alle imprese, alle società, agli istituti e agli altri organismi o soggetti privati che esercitano, anche attraverso agenzie autorizzate, un’attività di mediazione a fini matrimoniali o di instaurazione di un rapporto di convivenza.
2) Finalità del trattamento
L’autorizzazione è rilasciata, anche senza richiesta, ai soli fini dell’esecuzione dei singoli incarichi conferiti in conformità alle leggi e ai regolamenti.
3) Interessati ai quali i dati si riferiscono
Il trattamento può riguardare i soli dati sensibili attinenti alle persone direttamente interessate
al matrimonio o alla convivenza.
Non è consentito il trattamento di dati relativo a persone minori di età in base all’ordinamento
del Paese di appartenenza o, comunque, in base alla legge italiana.
4) Categorie di dati oggetto di trattamento
Il trattamento può riguardare i soli dati e le sole operazioni che risultino indispensabili in relazione allo specifico profilo o alla personalità descritto o richiesto dalle persone interessate al matrimonio o alla convivenza.
I dati devono essere forniti personalmente dai medesimi interessati.
L’informativa preliminare al consenso scritto deve porre in particolare evidenza le categorie di
dati trattati e le modalità della loro comunicazione a terzi.
5) Comunicazione dei dati
I dati possono essere comunicati nei limiti strettamente pertinenti all’esecuzione degli specifici incarichi ricevuti.
I titolari del trattamento, anche ai fini dell’eventuale comunicazione ad altri titolari delle modifiche apportate ai dati in accoglimento di una richiesta dell’interessato (art. 13, comma 1, lettera c),
n. 4), della legge n. 675/1996), devono conservare un elenco dei destinatari delle comunicazioni effettuate, recante un’annotazione delle specifiche categorie di dati comunicati.
L’eventuale diffusione anche per via telematica di taluni dati sensibili deve essere oggetto di apposita autorizzazione di questa Autorità.
137
Autorizzazioni generali
6) Norme finali
Restano fermi gli ulteriori obblighi previsti dalla legge e dai regolamenti, in particolare nell’ambito della legge penale e della disciplina di pubblica sicurezza, nonché in materia di tutela dei minori.
Capo VI
PRESCRIZIONI COMUNI A TUTTI I TRATTAMENTI
Per quanto non previsto dai capi che precedono, ai trattamenti ivi indicati si applicano, altresì,
le seguenti prescrizioni:
1) Dati idonei a rivelare lo stato di salute.
Il trattamento dei dati idonei a rivelare lo stato di salute deve essere effettuato anche nel rispetto
dell’autorizzazione n. 2/1999, rilasciata il 29 settembre 1999.
Il trattamento dei dati genetici non è consentito nei casi previsti dalla presente autorizzazione.
2) Modalità di trattamento
Fermi restando gli obblighi previsti dagli articoli 9, 15, 17 e 28 della legge n. 675/1996 e dal
decreto del Presidente della Repubblica n. 318/1999, concernenti i requisiti dei dati personali, la sicurezza e i limiti posti ai trattamenti automatizzati volti a definire il profilo o la personalità degli interessati, nonché il trasferimento all’estero dei dati, il trattamento dei dati sensibili deve essere
effettuato unicamente con logiche e forme di organizzazione dei dati strettamente correlate alle finalità indicate nei capi che precedono.
Resta inoltre fermo l’obbligo di informare l’interessato, ai sensi dell’art. 10, commi 1 e 3, della
legge n. 675/1996, anche quando i dati sono raccolti presso terzi.
3) Conservazione dei dati
Nel quadro del rispetto dell’obbligo previsto dall’art. 9, comma 1, lettera e), della legge 31 dicembre
1996, n. 675, i dati sensibili possono essere conservati per un periodo non superiore a quello necessario
per perseguire le finalità ovvero per adempiere agli obblighi o agli incarichi menzionati nei precedenti capi, verificando anche periodicamente la stretta pertinenza e la non eccedenza dei dati trattati.
Restano fermi i diversi termini di conservazione previsti dalle leggi o dai regolamenti.
Resta altresì fermo quanto previsto nel capo II in materia di sondaggi e di ricerche.
4) Richieste di autorizzazione
I titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione
non sono tenuti a presentare una richiesta di autorizzazione a questa autorità, qualora il trattamento
che si intende effettuare sia conforme alle prescrizioni suddette.
Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento
medesimo.
Il Garante non prenderà in considerazione richieste di autorizzazione per trattamenti da effettuarsi in difformità alle prescrizioni del presente provvedimento, salvo che il loro accoglimento sia
giustificato da circostanze del tutto particolari o da situazioni eccezionali non considerate nella presente autorizzazione.
5) Norme finali
Restano fermi gli obblighi previsti da norme di legge o di regolamento o dalla normativa comunitaria che stabiliscono divieti o limiti più restrittivi in materia di trattamento di dati personali e, in
particolare:
138
Autorizzazioni generali
a) dalla legge 20 maggio 1970, n. 300;
b) dalla legge 5 giugno 1990, n. 135.
Restano altresì fermi gli obblighi deontologici, nonché gli obblighi di legge che vietano la rivelazione senza giusta causa e l’impiego a proprio o altrui profitto delle notizie coperte dal segreto professionale.
Resta ferma, infine, la possibilità di diffondere dati anonimi anche aggregati.
6) Efficacia temporale
La presente autorizzazione ha efficacia a decorrere dal 1º ottobre 1999, fino al 30 settembre
2000.
La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 29 settembre 1999
IL PRESIDENTE
Rodotà
139
Autorizzazioni generali
PROVVEDIMENTO 29 SETTEMBRE 1999
Autorizzazione n. 6/1999 al trattamento di alcuni dati sensibili da parte degli investigatori privati
In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe
Santaniello, vicepresidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti, e del
dott. Giovanni Buttarelli, segretario generale;
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni, in materia
di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali;
Visto, in particolare, l’art. 22, comma 1, della citata legge n. 675/1996, il quale individua come
“sensibili” i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i datipersonali idonei a rivelare
lo stato di salute e la vitasessuale;
Considerato che il trattamento di questi dati da parte di privati ed enti pubblici economici è permesso, di regola, solo previa autorizzazione di questa Autoritàe con il consenso scritto degli interessati (art. 22, comma 1, legge n. 675/1996);
Considerato che una speciale disposizione (art. 22, comma 4, legge n. 675/1996) permette di
trattare i dati idonei a rivelare lo stato di salute e la vita sessuale senza il consenso degli interessati,
quando il trattamento autorizzato dal Garante è necessario per svolgere una investigazione nell’ambito di un procedimento penale (articoli 190 del codice di procedura penale e 38 delle relative norme
di attuazione) o, comunque, per far valere o difendere in sede giudiziaria un diritto di rango pari a
quello dell’interessato;
Vista l’autorizzazione del Garante adottata il 30 settembre 1998 relativa al trattamento di alcuni dati sensibili da parte degli investigatori privati, pubblicata nella Gazzetta Ufficiale della Repubblica italiana il 1º ottobre 1998 e avente efficacia fino al 30 settembre 1999;
Visti i risultati positivi conseguiti con le autorizzazioni generali numeri 6/1997 e 6/1998, che
sono risultate uno strumento idoneo per prescrivere ed uniformare le misure e gli accorgimenti a garanzia degli interessati, tenendo conto dei diritti e degli interessi meritevoli di tutela degli operatori
che verrebbero penalizzati dalla necessaria richiesta di singoli provvedimenti autorizzatori;
Ritenuto, pertanto, opportuno rilasciare nuove autorizzazioni generali anche al fine di proseguire la semplificazione degli adempimenti che la legge n. 675/1996 pone a carico di determinate categorie di titolari, nonché di assicurare una migliore funzionalità dell’Ufficio del Garante e di
armonizzare le prescrizioni da impartire con le autorizzazioni, alla luce dell’esperienza maturata;
Considerato che il Garante ha rilasciato un’autorizzazione di ordine generale relativa ai dati idonei a rivelare lo stato di salute e la vita sessuale (n. 2/1999, rilasciata il 29 settembre 1999), anche
in riferimento alle predette finalità di ordine giudiziario;
Considerato che numerosi trattamenti aventi tali finalità sono effettuati con l’ausilio di investigatori privati, e che è pertanto opportuno integrare le prescrizioni dell’autorizzazione n. 2/1999 mediante un ulteriore provvedimento di ordine generale che tenga conto dello specifico contesto
dell’investigazione privata, anche al fine di armonizzare le prescrizioni da impartire alla categoria;
Ritenuta la necessità di applicare anche al caso di specie le considerazioni già espresse con
l’autorizzazione n. 2/1999 per ciò che riguarda la natura provvisoria delle autorizzazioni generali e i
criteri direttivi prescelti per la determinazione delle relative prescrizioni;
Considerato che ulteriori misure ed accorgimenti saranno prescritti dal Garante all’atto della
sottoscrizione dell’apposito codice di deontologia e di buona condotta che il Garante è in procinto di
promuovere (art. 22, comma 4, legge n. 675/1996);
Visto l’art. 35 della legge n. 675/1996 che sanziona penalmente la violazione delle prescrizioni
della presente autorizzazione;
Visto il regolamento recante norme sulle misure minime di sicurezza previsto dall’art. 15, comma 2, della legge n. 675/1996 e adottato con decreto del Presidente della Repubblica 28 luglio 1999,
n. 318;
140
Autorizzazioni generali
Visto l’art. 14 del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Visti gli atti d’ufficio;
Viste le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 7, comma 2,
lettera a), del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Relatore l’ing. Claudio Manganelli;
AUTORIZZA
gli investigatori privati a trattare i dati idonei a rivelare lo stato di salute e la vita sessuale, secondo le prescrizioni di seguito indicate.
1) Ambito di applicazione e finalità del trattamento
La presente autorizzazione è rilasciata, anche senza richiesta, alle persone fisiche e giuridiche,
agli istituti, agli enti, alle associazioni e agli organismi che esercitano un’attività di investigazione privata autorizzata con licenza prefettizia (art. 134 del regio decreto 18 giugno 1931, n. 773, e successive modificazioni e integrazioni).
Il trattamento può essere effettuato unicamente:
a) per permettere a chi conferisce uno specifico incarico di far valere o difendere in sede giudiziaria un proprio diritto di rango pari a quello del soggetto al quale si riferiscono i dati, ovvero un diritto della personalità o un altro diritto fondamentale ed inviolabile;
b) su incarico di un difensore nell’ambito del procedimento penale, per ricercare e individuare
elementi a favore del relativo assistito da utilizzare ai soli fini dell’esercizio del diritto alla prova (articoli 190 del codice di procedura penale e 38 delle relative norme di attuazione).
Restano ferme le altre autorizzazioni generali rilasciate ai fini dello svolgimento delle investigazioni nel procedimento penale o per l’esercizio di un diritto in sede giudiziaria, in particolare:
a) nell’ambito dei rapporti di lavoro (autorizzazione n. 1/1999, rilasciata il 29 settembre 1999);
b) relativamente ai dati idonei a rivelare lo stato di salute e la vita sessuale (autorizzazione generale n. 2/1999, rilasciata il 29 settembre 1999);
c) da parte degli organismi di tipo associativo e delle fondazioni (autorizzazione generale n.
3/1999, rilasciata il 29 settembre 1999);
d) da parte dei liberi professionisti iscritti inalbi o elenchi professionali, ivi inclusi i difensori e
i relativi sostituti ed ausiliari (autorizzazione generale n. 4/1999, rilasciata il 29 settembre 1999);
e) relativamente ai dati di carattere giudiziario (autorizzazione generale n. 7/1999, rilasciata il
29 settembre 1999).
2) Categorie di dati e interessati ai quali i dati si riferiscono
Il trattamento può riguardare i dati idonei a rivelare lo stato di salute e la vita sessuale, qualora
ciò sia strettamente indispensabile per eseguire specifici incarichi conferiti per scopi determinati e
legittimi nell’ambito delle finalità di cui al punto 1).
I dati devono essere pertinenti e non eccedenti rispetto agli incarichi conferiti.
3) Modalità di trattamento
Gli investigatori privati non possono intraprendere di propria iniziativa investigazioni, ricerche
o altre forme di raccolta di dati idonei a rivelare lo stato di salute e la vita sessuale. Tali attività possono essere eseguite esclusivamente sulla base di un apposito incarico conferito per iscritto, anche da
un difensore, per le esclusive finalità di cui al punto 1).
L’atto di incarico deve menzionare in maniera specifica il diritto che si intende esercitare in sede giudiziaria, ovvero il procedimento penale al quale l’investigazione è collegata, nonché i principali elementi
di fatto che giustificano l’investigazione e il termine ragionevole entro cui questa deve essere conclusa.
I dati devono essere registrati ed elaborati mediante logiche e forme di organizzazione strettamente correlate alle finalità di cui al punto 1).
141
Autorizzazioni generali
L’interessato o la persona presso la quale sono raccolti i dati deve essere informata ai sensi dell’art. 10, comma 1, della legge n. 675/1996, ponendo in particolare evidenza l’identità e la qualità
professionale dell’investigatore, nonché la natura facoltativa del conferimento dei dati.
Nel caso in cui i dati sono raccolti presso terzi, è necessario informare l’interessato e acquisire
il suo consenso scritto (articoli 10, commi 3 e 4 e 22, comma 4, legge n. 675/1996), solo se i dati sono trattati per un periodo superiore a quello strettamente necessario per esercitare il diritto in sede
giudiziaria o per svolgere le investigazioni difensive, oppure se i dati sono utilizzati per ulteriori finalità non incompatibili con quelle precedentemente perseguite.
Il difensore o il soggetto che ha conferito l’incarico devono essere informati periodicamente dell’andamento dell’investigazione, anche al fine di permettere loro una valutazione tempestiva circa le
determinazioni da adottare riguardo all’esercizio del diritto in sede giudiziaria o al diritto alla prova.
L’investigatore privato deve eseguire personalmente l’incarico ricevuto e non può avvalersi di
altri investigatori non indicati nominativamente all’atto del conferimento dell’incarico.
Nel caso in cui si avvalga di collaboratori interni designati quali responsabili o incaricati del
trattamento in conformità a quanto previsto dagli articoli 8 e 19 della legge n. 675/1996, l’investigatore privato deve vigilare con cadenza almeno settimanale sulla puntuale osservanza delle norme di
legge e delle istruzioni impartite. Tali soggetti possono avere accesso ai soli dati strettamente pertinenti alla collaborazione ad essi richiesta.
Per quanto non previsto nella presente autorizzazione, il trattamento deve essere effettuato nel
rispetto delle ulteriori prescrizioni contenute nell’autorizzazione generale n. 2/1999, in particolare
per ciò che riguarda le informazioni relative ai nascituri e ai dati genetici.
Il trattamento dei dati deve inoltre rispettare le prescrizioni di un apposito codice di deontologia e di buona condotta, che il Garante è in procinto di promuovere ai sensi degli articoli 22, comma
4 e 31, comma 1, lettera h), della legge n. 675/1996.
4) Conservazione dei dati
Nel quadro del rispetto dell’obbligo previsto dall’art. 9, comma 1, lettera e), della legge n.
675/1996, i dati sensibili possono essere conservati per un periodo non superiore a quello strettamente necessario per eseguire l’incarico ricevuto.
A tal fine deve essere verificata costantemente, anche mediante controlli periodici, la stretta
pertinenza e la non eccedenza dei dati rispetto alle finalità perseguite e all’incarico conferito.
Una volta conclusa la specifica attività investigativa, il trattamento deve cessare in ogni sua forma, fatta eccezione per l’immediata comunicazione al difensore o al soggetto che ha conferito l’incarico.
La mera pendenza del procedimento al quale l’investigazione è collegata, ovvero il passaggio ad
altre fasi di giudizio in attesa della formazione del giudicato, non costituiscono, di per se stessi, una
giustificazione valida per la conservazione dei dati da parte dell’investigatore privato.
5) Comunicazione e diffusione dei dati
I dati possono essere comunicati unicamente al soggetto che ha conferito l’incarico.
I dati non possono essere comunicati ad un altro investigatore privato, salvo che questi sia stato indicato nominativamente nell’atto di incarico e la comunicazione sia necessaria per lo svolgimento dei compiti affidati.
I dati idonei a rivelare lo stato di salute possono essere diffusi solo se è necessario per finalità
di prevenzione, accertamento o repressione dei reati (art. 23, comma 4, della legge n. 675/1996), con
l’osservanza delle norme che regolano la materia.
I dati relativi alla vita sessuale non possono essere diffusi.
6) Richieste di autorizzazione
I titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione
non sono tenuti a presentare una richiesta di autorizzazione a questa Autorità, qualora il trattamento
che si intende effettuare sia conforme alle prescrizioni suddette.
142
Autorizzazioni generali
Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento
medesimo.
Il Garante non prenderà in considerazione richieste di autorizzazione per trattamenti da effettuarsi in difformità alle prescrizioni del presente provvedimento, salvo che il loro accoglimento sia
giustificato da circostanze del tutto particolari o da situazioni eccezionali non considerate nella presente autorizzazione.
7) Norme finali
Restano fermi gli obblighi previsti da norme di legge o di regolamento, ovvero dalla normativa
comunitaria (anteporre “normativa comunitaria”), che stabiliscono divieti o limiti in materia di trattamento di dati personali e, in particolare:
a) dagli articoli 4 (impianti e apparecchiature per finalità di controllo a distanza dei lavoratori)
e 8 (indagini sulle opinioni del lavoratore o su altri fatti non rilevanti ai fini della valutazione dell’attitudine professionale) della legge 20 maggio 1970, n. 300;
b) dalla legge 5 giugno 1990, n. 135, in materia di sieropositività e di infezione da HIV;
c) dalle norme processuali o volte a prevenire discriminazioni;
d) dall’art. 734-bis del codice penale, il quale vieta la divulgazione non consensuale delle generalità o dell’immagine della persona offesa da atti di violenza sessuale.
Restano fermi gli obblighi previsti dagli articoli 9, 15, 17 e 28 della legge n. 675/1996 e dal decreto del Presidente della Repubblica n. 318/1999 concernenti i requisiti dei dati personali, la sicurezza, i limiti posti ai trattamenti automatizzati volti a definire il profilo o la personalità degli
interessati, nonché il trasferimento all’estero dei dati.
Restano fermi, in particolare, gli obblighi previsti in tema di liceità e di correttezza nell’uso di
strumenti o apparecchiature che permettono la raccolta di informazioni anche sonore o visive, ovvero in tema di accesso a banche dati o di cognizione del contenuto della corrispondenza e di comunicazioni o conversazioni telefoniche, telematiche o tra soggetti presenti.
Resta ferma la facoltà per le persone fisiche di trattare direttamente dati per l’esclusivo fine della tutela di un proprio diritto in sede giudiziaria, anche nell’ambito delle investigazioni relative ad un
procedimento penale. In tali casi, la legge n. 675/1996 non si applica anche se i dati sono comunicati occasionalmente ad una autorità giudiziaria o a terzi, sempreché i dati non siano destinati ad una
comunicazione sistematica o alla diffusione (art. 3 della legge n. 675/1996).
8) Efficacia temporale
La presente autorizzazione ha efficacia a decorrere dal 1º ottobre 1999, fino al 30 settembre
2000.
La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 29 settembre 1999
IL PRESIDENTE
Rodotà
143
Autorizzazioni generali
PROVVEDIMENTO 29 SETTEMBRE 1999
Autorizzazione n. 7/1999 al trattamento di dati a carattere giudiziario da parte di
privati, di enti pubblici economici e di soggetti pubblici
In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe
Santaniello, vicepresidente, del prof. Ugo De Siervo e dell’ing. Claudio Manganelli, componenti, e del
dott. Giovanni Buttarelli, segretario generale;
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni, in materia
di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali;
Visto, in particolare, l’art. 24, comma 1, della medesima legge, che ammette il trattamento di
dati personali idonei a rivelare i provvedimenti giudiziari indicati nell’art. 686, commi 1, lettere a) e
d), 2 e 3, del codice di procedura penale, da parte di soggetti pubblici e privati e di enti pubblici economici, “soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che
specifichino le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e le precise operazioni autorizzate”;
Constatata la necessità di evitare che diversi soggetti privati ed enti pubblici economici debbano interrompere alcuni trattamenti di dati che risultano giustificati da una finalità di rilevante interesse pubblico in ragione della loro natura e degli scopi ai quali essi sono strumentali;
Considerato che diversi trattamenti dei predetti dati da parte di soggetti pubblici sono disciplinati nel decreto legislativo 11 maggio 1999, n. 135;
Considerato che i trattamenti dei medesimi dati giudiziari da parte dei soggetti pubblici, per finalità non previste nel capo II del decreto legislativo 11 maggio 1999, n. 135, devono essere autorizzati dal Garante ai sensi dell’art. 24 della legge 31 dicembre 1996, n. 675;
Ritenuta la necessità di autorizzare i soggetti pubblici al trattamento dei dati di cui all’art. 686,
commi 1, lettere a) e d), 2 e 3, del codice di procedura penale, e ciò al fine di consentire l’accertamento dell’assenza di alcune situazioni che la normativa in materia di appalti pubblici considera quali cause di esclusione dalla partecipazione a gare d’appalto, in modo che, per esigenze di buon
andamento e imparzialità dell’azione amministrativa, i soggetti operanti in materia presentino i requisiti previsti di professionalità e correttezza;
Considerato che il trattamento dei dati in questione può essere autorizzato dal Garante anche
d’ufficio, nei confronti di singoli titolari oppure, con provvedimenti generali, di determinate categorie di titolari o di trattamenti (art. 41, comma 7, della legge n. 675/1996, come modificato dall’art. 4,
comma 1, del decreto legislativo 9 maggio 1997, n. 123);
Visti i risultati positivi conseguiti con l’autorizzazione al trattamento dei dati a carattere giudiziario da parte di privati, di enti pubblici economici e soggetti pubblici rilasciata il 10 maggio 1999,
come integrata con provvedimenti del 3 giugno 1999 e del 9 settembre 1999, che è risultata uno strumento idoneo per prescrivere ed uniformare le misure e gli accorgimenti a garanzia degli interessati,
tenendo conto dei diritti e degli interessi meritevoli di tutela degli operatori che verrebbero penalizzati dalla necessaria richiesta di singoli provvedimenti autorizzatori;
Ritenuto opportuno rilasciare una nuova autorizzazione generale in ordine ai dati di carattere
giudiziario citati in premessa, al fine di semplificare gli adempimenti previsti dalla legge n.
675/1996, di armonizzare le prescrizioni da impartire ad una ampia categoria di titolari del trattamento e di favorire altresì la funzionalità dell’ufficio del Garante, alla luce dell’esperienza maturata;
Vista la legge 5 febbraio 1999, n. 25, che stabilisce il termine del 27 febbraio 2000 per l’emanazione di alcuni decreti legislativi finalizzati a completare la disciplina sulla protezione dei dati personali in attuazione della direttiva comunitaria n. 95/46/CE del 24 ottobre 1995;
Considerato che l’art. 8, paragrafo 5, di tale direttiva prevede specifiche garanzie per i dati
sopraindicati e per altre categorie di dati a carattere giudiziario, in quanto ammette il trattamento
dei dati relativi alla più ampia categoria delle “infrazioni, ... condanne penali o ... misure di sicurezza” “... solo sotto controllo dell’autorità pubblica, o se vengono fornite opportune garanzie specifiche, sulla base del diritto nazionale, fatte salve le deroghe che possono essere fissate dallo Stato
membro in base ad una disposizione nazionale che preveda garanzie appropriate e specifiche”,
144
Autorizzazioni generali
sempreché un “registro completo” delle condanne penali sia tenuto “solo sotto il controllo dell’autorità pubblica”;
Ritenuto che in vista della completa attuazione legislativa di tale disciplina comunitaria è opportuno che la presente autorizzazione generale non rechi disposizioni particolarmente dettagliate, in
modo da evitare che l’attività dei titolari dei trattamenti sia soggetta a modifiche sostanziali nel corso di un breve periodo di tempo, ferme restando alcune garanzie per gli interessati;
Ritenuta la necessità di favorire la prosecuzione dell’attività di documentazione, studio e ricerca in campo giuridico, in particolare per quanto riguarda la diffusione di dati relativi a precedenti giurisprudenziali, in ragione sia dell’affinità che tali attività presentano con quelle di manifestazione del
pensiero già disciplinate dagli articoli 12, 20 e 25 della legge n. 675/1996, sia della possibile adozione di norme volte a favorire lo sviluppo dell’informatica giuridica;
Ritenuto, tuttavia, opportuno che la presente autorizzazione prenda comunque in considerazione le finalità dei trattamenti, le categorie di interessati e di destinatari della comunicazione e della
diffusione, nonché il periodo di conservazione dei dati, in quanto la disciplina di tali aspetti è prevista dalla legge n. 675/1996 ai fini dell’applicazione delle norme sull’esonero dall’obbligo della notificazione e sulla notificazione semplificata (art. 7, comma 5-quater);
Considerata la necessità che sia garantito, anche nell’attuale fase transitoria, il rispetto di alcuni princìpi volti a ridurre al minimo i rischi di danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, nonché per la dignità delle persone, specie per quanto
riguarda la riservatezza el’identità personale;
Visto l’art. 35 della legge n. 675/1996 che sanziona penalmente la violazione delle prescrizioni
della presente autorizzazione;
Visto il regolamento recante norme sulle misure minime di sicurezza previsto dall’art. 15, comma 2, della legge n. 675/1996, e adottato con decreto del Presidente della Repubblica 28 luglio 1999,
n. 318;
Visto l’art. 14 del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Visti gli atti d’ufficio;
Viste le osservazioni dell’ufficio formulate dal segretario generale ai sensi dell’art. 7, comma 2,
lettera a), del decreto del Presidente della Repubblica 31 marzo 1998, n. 501;
Relatore il prof. Giuseppe Santaniello;
AUTORIZZA
i trattamenti di dati personali idonei a rivelare i provvedimenti di cui all’art. 686, commi 1, lettere a) e d), 2 e 3, del codice di procedura penale, per le rilevanti finalità di interesse pubblico di seguito specificate ai sensi dell’art. 24 della legge n. 675/1996 e secondo le seguenti prescrizioni:
Capo I
RAPPORTI DI LAVORO
1) Ambito di applicazione e finalità del trattamento
L’autorizzazione è rilasciata, anche senza richiesta di parte, a persone fisiche e giuridiche, enti, associazioni ed organismi che:
a) sono parte di un rapporto di lavoro;
b) utilizzano prestazioni lavorative anche atipiche, parziali o temporanee ai sensi della legge 24
giugno 1997, n. 196 (in materia di prestazioni di lavoro temporaneo);
c) conferiscono un incarico professionale a consulenti, liberi professionisti, agenti, rappresentanti e mandatari.
Il trattamento deve essere strettamente necessario per adempiere o per esigere l’adempimento
di specifici obblighi o per eseguire specifici compiti previsti da leggi, dalla normativa comunitaria,
145
Autorizzazioni generali
da regolamenti o da contratti collettivi, anche aziendali, e ai soli fini della gestione del rapporto di lavoro, anche autonomo o non retribuito od onorario.
L’autorizzazione è altresì rilasciata a soggetti che in relazione ad un’attività di composizione di
controversie esercitata in conformità alla legge svolgono un trattamento strettamente necessario al
medesimo fine.
2) Interessati ai quali i dati si riferiscono
Il trattamento può riguardare dati attinenti a soggetti che hanno assunto o intendono assumere
la qualità di:
a) lavoratori dipendenti, anche se prestatori di lavoro temporaneo o in rapporto di tirocinio, apprendistato e formazione lavoro, ovvero di associati anche in compartecipazione o di titolari di borse
di lavoro e di rapporti analoghi;
b) amministratori o membri di organi esecutivi o di controllo;
c) consulenti e liberi professionisti, agenti, rappresentanti e mandatari.
Capo II
ORGANISMI DI TIPO ASSOCIATIVO E FONDAZIONI
1) Ambito di applicazione e finalità del trattamento
L’autorizzazione è rilasciata anche senza richiesta:
a) ad associazioni anche non riconosciute, ivi compresi partiti e movimenti politici, associazioni ed organizzazioni sindacali, patronati, associazioni a scopo assistenziale o di volontariato, a fondazioni, comitati e ad ogni altro ente, consorzio od organismo senza scopo di lucro, dotati o meno di
personalità giuridica, nonché a cooperative sociali e società di mutuo soccorso di cui, rispettivamente, alle leggi 8 novembre 1991, n. 381, e 15 aprile 1886, n. 3818;
b) ad enti ed associazioni anche non riconosciute che curano il patrocinio, il recupero, l’istruzione, la formazione professionale, l’assistenza socio-sanitaria, la beneficenza e la tutela di diritti in
favore dei soggetti cui si riferiscono i dati o dei relativi familiari e conviventi.
Il trattamento deve essere strettamente necessario per perseguire scopi determinati e legittimi
individuati dall’atto costitutivo, dallo statuto o da un contratto collettivo.
2) Interessati ai quali i dati si riferiscono
Il trattamento può riguardare dati attinenti:
a) ad associati, soci e aderenti, nonché, nei casi in cui l’utilizzazione dei dati sia prevista dall’atto costitutivo o dallo statuto, a soggetti che presentano richiesta di ammissione o di adesione;
b) a beneficiari, assistiti e fruitori delle attività o dei servizi prestati dall’associazione, dall’ente o dal diverso organismo.
Capo III
LIBERI PROFESSIONISTI
1) Ambito di applicazione e finalità del trattamento
L’autorizzazione è rilasciata anche senza richiesta ai:
a) liberi professionisti, anche associati, tenuti ad iscriversi in albi o elenchi per l’esercizio di
un’attività professionale in forma individuale o associata, o in conformità alle norme di attuazione dell’art. 24, comma 2, della legge 7 agosto 1997, n. 266, in tema di attività di assistenza e consulenza;
b) soggetti iscritti nei corrispondenti albi o elenchi speciali, istituiti anche ai sensi dell’art. 34
del regio decreto-legge 27 novembre 1933, n. 1578, e successive modificazioni e integrazioni, recante
l’ordinamento della professione di avvocato;
146
Autorizzazioni generali
c) sostituti e ausiliari che collaborano con il libero professionista ai sensi dell’art. 2232 del codice civile, praticanti e tirocinanti, qualora tali soggetti siano titolari di un autonomo trattamento o
siano contitolari del trattamento effettuato dal libero professionista.
2) Interessati ai quali i dati si riferiscono
Il trattamento può riguardare dati attinenti ai clienti.
I dati relativi ai terzi possono essere trattati solo ove ciò sia strettamente indispensabile per eseguire specifiche prestazioni professionali richieste dai clienti per scopi determinati e legittimi.
Capo IV
IMPRESE BANCARIE ED ASSICURATIVE ED ALTRI TRATTAMENTI
1) Ambito di applicazione e finalità del trattamento
L’autorizzazione è rilasciata, anche senza richiesta:
a) ad imprese autorizzate o che intendono essere autorizzate all’esercizio dell’attività bancaria
e creditizia, assicurativa o dei fondi pensione, anche se in stato di liquidazione coatta amministrativa, ai fini:
1) dell’accertamento, nei casi previsti dalle leggi e dai regolamenti, del requisito di onorabilità
nei confronti di soci e titolari di cariche direttive o elettive;
2) dell’accertamento, nei soli casi espressamente previsti dalla legge, di requisiti soggettivi e di
presupposti interdittivi in particolare ai sensi del regio decreto 21 dicembre 1933, n. 1736, sull’assegno bancario;
3) dell’accertamento di responsabilità in relazione a sinistri o eventi attinenti alla vita umana;
4) dell’accertamento di situazioni di concreto rischio per il corretto esercizio dell’attività assicurativa, in relazione ad illeciti direttamente connessi con la medesima attività. Per questi ultimi casi, limitatamente ai trattamenti di dati registrati in una specifica banca di dati ai sensi dell’art. 1,
comma 2, lettera a), della legge n. 675/1996, il titolare deve inviare al Garante una dettagliata relazione sulle modalità del trattamento;
b) a soggetti titolari di un trattamento di dati svolto nell’ambito di un’attività di richiesta, acquisizione e consegna di atti e documenti presso i competenti uffici pubblici, effettuata su incarico
degli interessati;
c) alle società di intermediazione mobiliare, alle società di investimento a capitale variabile, e
alle società di gestione del risparmio e dei fondi pensione, ai fini dell’accertamento dei requisiti di
onorabilità in applicazione dei decreti legislativi 24 febbraio 1998, n. 58, e 21 aprile 1993, n. 124,
dei decreti ministeriali 11 novembre 1998, n. 468, e 14 gennaio 1997, n. 211, e di eventuali altre
norme di legge o di regolamento.
2) Ulteriori trattamenti
L’autorizzazione è rilasciata altresì:
a) a chiunque, per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione nei casi
previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi, sempreché il diritto da far valere o difendere sia di rango pari a quello dell’interessato e i dati siano
trattati esclusivamente per tali finalità e per il periodo strettamente necessario per il suo perseguimento;
b) a chiunque, per l’esercizio del diritto di accesso ai documenti amministrativi, nei limiti di
quanto previsto dalle leggi e dai regolamenti in materia;
c) a persone fisiche e giuridiche, istituti, enti ed organismi che esercitano un’attività di investigazione privata autorizzata con licenza prefettizia (art. 134 del regio decreto 18 giugno 1931, n. 773,
e successive modificazioni e integrazioni). Il trattamento deve essere necessario:
147
Autorizzazioni generali
1) per permettere a chi conferisce uno specifico incarico di far valere o difendere in sede giudiziaria un proprio diritto di rango pari a quello del soggetto al quale si riferiscono i dati, ovvero di un
diritto della personalità o di un altro diritto fondamentale ed inviolabile;
2) su incarico di un difensore nell’ambito del procedimento penale, per ricercare e individuare
elementi a favore del relativo assistito da utilizzare ai soli fini dell’esercizio del diritto alla prova (articoli 190 del codice di procedura penale e 38 delle relative norme di attuazione);
d) a chiunque, per adempiere ad obblighi previsti da disposizioni di legge in materia di comunicazioni e certificazioni antimafia o in materia di prevenzione della delinquenza di tipo mafioso e di
altre gravi forme di manifestazione di pericolosità sociale, contenute anche nella legge 19 marzo
1990, n. 55, e successive modificazioni ed integrazioni, o per poter produrre la documentazione prescritta dalla legge per partecipare a gare d’appalto.
Capo V
DOCUMENTAZIONE GIURIDICA
1) Ambito di applicazione e finalità del trattamento
L’autorizzazione è rilasciata per il trattamento, ivi compresa la diffusione, di dati per finalità di
documentazione, di studio e di ricerca in campo giuridico, in particolare per quanto riguarda la raccolta e la diffusione di dati relativi a pronunce giurisprudenziali.
Capo VI
PRESCRIZIONI COMUNI A TUTTI I TRATTAMENTI
Per quanto non previsto dai capi che precedono, ai trattamenti ivi indicati si applicano, altresì,
le seguenti prescrizioni:
1) Dati trattati
Possono essere trattati i soli dati essenziali per le finalità per le quali è ammesso il trattamento
e che non possano essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati
personali di natura diversa.
2) Modalità di trattamento
Il trattamento dei dati deve essere effettuato unicamente con logiche e mediante forme di organizzazione dei dati strettamente correlate agli obblighi, ai compiti o alle finalità precedentemente indicati.
Fuori dei casi previsti dai capi IV, punto 2 e V, o nei quali la notizia è acquisita da fonti accessibili a chiunque, i dati devono essere forniti dagli interessati, nel rispetto della disciplina prevista
dall’art. 689 del codice di procedura penale in tema di richiesta di certificati, salvo quanto previsto
dall’art. 688 del medesimo codice per ciò che riguarda l’acquisizione di certificati del casellario giudiziale da parte di amministrazioni pubbliche e di enti incaricati di pubblici servizi.
3) Conservazione dei dati
Con riferimento all’obbligo previsto dall’art. 9, comma 1, lettera e), della legge n. 675/1996, i
dati possono essere conservati per il periodo di tempo previsto da leggi o regolamenti e, comunque,
per un periodo non superiore a quello strettamente necessario per le finalità perseguite.
Ai sensi dell’art. 9, comma 1, lettere c), d) ed e), della legge, i soggetti autorizzati verificano periodicamente l’esattezza e l’aggiornamento dei dati, nonché la loro pertinenza, completezza, non eccedenza e necessità rispetto alle finalità perseguite nei singoli casi. Al fine di assicurare che i dati
siano strettamente pertinenti e non eccedenti rispetto alle finalità medesime, i soggetti autorizzati valutano specificamente il rapporto tra i dati e i singoli obblighi, compiti e prestazioni. I dati che, an-
148
Autorizzazioni generali
che a seguito delle verifiche, risultino eccedenti o non pertinenti o non necessari non possono essere
utilizzati, salvo che per l’eventuale conservazione, a norma di legge, dell’atto o del documento che li
contiene. Specifica attenzione è prestata per la verifica dell’essenzialità dei dati riferiti a soggetti diversi da quelli cui si riferiscono direttamente gli obblighi, i compiti e le prestazioni.
4) Comunicazione e diffusione
I dati possono essere comunicati e, ove previsto dalla legge, diffusi, a soggetti pubblici o privati, nei limiti strettamente necessari per le finalità perseguite e nel rispetto, in ogni caso, del segreto
professionale e delle altre prescrizioni sopraindicate.
5) Richieste di autorizzazione
I titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione
non sono tenuti a presentare una richiesta di autorizzazione al Garante, qualora il trattamento che si
intende effettuare sia conforme alle prescrizioni suddette.
Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento
medesimo.
Il Garante si riserva l’adozione di ogni altro provvedimento per i trattamenti non considerati nella presente autorizzazione.
Per quanto riguarda invece i trattamenti disciplinati nel presente provvedimento, il Garante non
prenderà in considerazione richieste di autorizzazione per trattamenti da effettuarsi in difformità alle
relative prescrizioni, salvo che il loro accoglimento sia giustificato da circostanze del tutto particolari o da situazioni eccezionali non considerate nella presente autorizzazione.
Restano fermi gli obblighi previsti da norme di legge o di regolamento o dalla normativa comunitaria che stabiliscono divieti o limiti più restrittivi in materia di trattamento di dati personali e, in
particolare, dalle disposizioni contenute nell’art. 8 della legge 20 maggio 1970, n. 300, che vieta al
datore di lavoro ai fini dell’assunzione e nello svolgimento del rapporto di lavoro, di effettuare indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su
fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore.
6) Efficacia temporale e disciplina transitoria
La presente autorizzazione ha efficacia a decorrere dal 1º ottobre 1999, fino al 30 settembre
2000.
La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 29 settembre 1999
IL PRESIDENTE
Rodotà
149
Autorizzazioni generali
Comunicato relativo al provvedimento del Garante per la protezione dei dati personali 29 settembre 1999 concernente “Autorizzazione n. 7/1999 al trattamento
di dati a carattere giudiziario da parte di privati, di enti pubblici economici e di
soggetti pubblici”
Il testo dell’autorizzazione citata in epigrafe, riportato alla pag. 31 della Gazzetta Ufficiale - serie generale - n. 232 del 2 ottobre 1999, non comprende per errore materiale incorso nella trasmissione della copia conforme, la lettera e) del Capo IV, paragrafo 2, avente il seguente tenore: “e) ai
soggetti pubblici, ai fini dell’accertamento del requisito di idoneità morale di coloro che intendono
partecipare a gare d’appalto, come previsto dalla normativa in materia di appalti pubblici e, in particolare, dall’art. 11 del decreto legislativo 24 luglio 1992, n. 358, come da ultimo modificato dall’art.
9 del decreto legislativo 20 ottobre 1998, n. 402”.
150
NORMATIVA
Legge n. 675 del 31 dicembre 1996: “Tutela delle persone e di altri soggetti
rispetto al trattamento dei dati personali”.
Testo aggiornato in base ai seguenti decreti legislativi:
n. 282 del 30.07.99
n. 281 del 30.07.99
n. 135 dell’11.05.99
n. 51 del 26.02.99
n. 389 del 06.11.98
n. 171 del 13.05.98
n. 135 dello 08.05.98
n. 255 del 28.07.97
n. 123 del 09.05.97.
Decreto legislativo 11 maggio 1999, n. 135: “Disposizioni integrative
della legge 31 dicembre 1996, n. 675, sul trattamento di dati sensibili
da parte dei soggetti pubblici”.
Decreto legislativo 30 luglio 1999, n. 281: “ Disposizioni in materia
di trattamento di dati personali per finalità storiche, statistiche
e di ricerca scientifica”.
Decreto legislativo 30 luglio 1999, n. 282: “ Disposizioni per garantire la riservatezza dei dati
personali in ambito sanitario”.
Decreto del Presidente della Repubblica 28 luglio 1999, n. 318: “Regolamento recante norme
per l’individuazione delle misure minime di sicurezza per il trattamento dei dati personali, a norma
dell’art. 15, comma 2 della legge 31 dicembre 1996, n. 675.
Normativa
TUTELA DELLE PERSONE E DI ALTRI SOGGETTI
RISPETTO AL TRATTAMENTO DEI DATI PERSONALI
CAPO I
PRINCIPI GENERALI
Art. 1.
(Finalità e definizioni)
1. La presente legge garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti, delle libertà fondamentali, nonché della dignità delle persone fisiche, con particolare riferimento alla riservatezza e all’identità personale; garantisce altresì i diritti delle persone giuridiche e di ogni
altro ente o associazione.
2. Ai fini della presente legge si intende:
a) per “banca di dati”, qualsiasi complesso di dati personali, ripartito in una o più unità dislocate in uno o più siti, organizzato secondo una pluralità di criteri determinati tali da facilitarne il trattamento;
b) per “trattamento”, qualunque operazione o complesso di operazioni, svolti con o senza l’ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto,
l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati;
c) per “dato personale”, qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;
d) per “titolare”, la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità ed alle modalità del trattamento di dati personali, ivi compreso il profilo della sicurezza;
e) per “responsabile”, la persona fisica, la persona giuridica, la pubblica amministrazione e
qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali;
f) per “interessato”, la persona fisica, la persona giuridica, l’ente o l’associazione cui si riferiscono i dati personali;
g) per “comunicazione”, il dare conoscenza dei dati personali a uno o più soggetti determinati
diversi dall’interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione;
h) per “diffusione”, il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque
forma, anche mediante la loro messa a disposizione o consultazione;
i) per “dato anonimo”, il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile;
l) per “blocco”, la conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento;
m) per “Garante”, l’autorità istituita ai sensi dell’articolo 30.
Art. 2.
(Ambito di applicazione)
1. La presente legge si applica al trattamento di dati personali da chiunque effettuato nel territorio dello Stato.
153
Normativa
Art. 3.
(Trattamento di dati per fini esclusivamente personali)
1. Il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali non è soggetto all’applicazione della presente legge, sempreché i dati non siano destinati ad una comunicazione sistematica o alla diffusione.
2. Al trattamento di cui al comma 1 si applicano in ogni caso le disposizioni in tema di sicurezza dei dati di cui all’articolo 15, nonché le disposizioni di cui agli articoli 18 e 36.
Art. 4.
(Particolari trattamenti in ambito pubblico)
1. La presente legge non si applica al trattamento di dati personali effettuato:
a) dal Centro elaborazione dati di cui all’articolo 8 della legge 1° aprile 1981, n. 121, come modificato dall’articolo 43, comma 1, della presente legge, ovvero sui dati destinati a confluirvi in base
alla legge, nonché in virtù dell’accordo di adesione alla Convenzione di applicazione dell’Accordo di
Schengen, reso esecutivo con legge 30 settembre 1993, n. 388;
b) dagli organismi di cui agli articoli 3, 4 e 6 della legge 24 ottobre 1977, n. 801, ovvero sui dati coperti da segreto di Stato ai sensi dell’articolo 12 della medesima legge;
c) nell’ambito del servizio del casellario giudiziale di cui al titolo IV del libro decimo del codice di procedura penale e al regio decreto 18 giugno 1931, n. 778, e successive modificazioni, o, in
base alla legge, nell’ambito del servizio dei carichi pendenti nella materia penale;
d) in attuazione dell’articolo 371-bis, comma 3, del codice di procedura penale o, per ragioni di
giustizia, nell’ambito di uffici giudiziari, del Consiglio superiore della magistratura e del Ministero di
grazia e giustizia;
e) da altri soggetti pubblici per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione dei reati, in base ad espresse disposizioni di legge che prevedano specificamente il trattamento.
2. Ai trattamenti di cui al comma 1 si applicano in ogni caso le disposizioni di cui agli articoli
9, 15, 17, 18, 31, 32, commi 6 e 7 e 36, nonché, fatta eccezione per i trattamenti di cui alla lettera b)
del comma 1, le disposizioni di cui agli articoli 7 e 34.
Art. 5.
(Trattamento di dati svolto senza l’ausilio di mezzi elettronici)
1. Il trattamento di dati personali svolto senza l’ausilio di mezzi elettronici o comunque automatizzati è soggetto alla medesima disciplina prevista per il trattamento effettuato con l’ausilio di tali mezzi.
Art. 6.
(Trattamento di dati detenuti all’estero)
1. Il trattamento nel territorio dello Stato di dati personali detenuti all’estero è soggetto alle disposizioni della presente legge.
2. Se il trattamento di cui al comma 1 consiste in un trasferimento di dati personali fuori dal territorio nazionale si applicano in ogni caso le disposizioni dell’articolo 28.
154
Normativa
CAPO II
OBBLIGHI PER IL TITOLARE DEL TRATTAMENTO
Art. 7.
(Notificazione)
1. Il titolare che intenda procedere ad un trattamento di dati personali soggetto al campo di applicazione della presente legge è tenuto a darne notificazione al Garante.
2. La notificazione è effettuata preventivamente ed una sola volta, a mezzo di lettera raccomandata ovvero con altro mezzo idoneo a certificarne la ricezione, a prescindere dal numero delle operazioni da svolgere, nonché dalla durata del trattamento e può riguardare uno o più trattamenti con
finalità correlate. Una nuova notificazione è richiesta solo se muta taluno degli elementi indicati nel
comma 4 e deve precedere l’effettuazione della variazione.
3. La notificazione è sottoscritta dal notificante e dal responsabile del trattamento.
4. La notificazione contiene:
a) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del titolare;
b) le finalità e modalità del trattamento;
c) la natura dei dati, il luogo ove sono custoditi e le categorie di interessati cui i dati si riferiscono;
d) l’ambito di comunicazione e di diffusione dei dati;
e) i trasferimenti di dati previsti verso Paesi non appartenenti all’Unione europea o, qualora riguardino taluno dei dati di cui agli articoli 22 e 24, fuori del territorio nazionale;
f) una descrizione generale che permetta di valutare l’adeguatezza delle misure tecniche ed organizzative adottate per la sicurezza dei dati;
g) l’indicazione della banca di dati o delle banche di dati cui si riferisce il trattamento, nonché
l’eventuale connessione con altri trattamenti o banche di dati, anche fuori del territorio nazionale;
h) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del responsabile; in mancanza di tale indicazione si considera responsabile il notificante;
i) la qualità e la legittimazione del notificante.
5. I soggetti tenuti ad iscriversi o che devono essere annotati nel registro delle imprese di cui all’articolo 2188 del codice civile, nonché coloro che devono fornire le informazioni di cui all’articolo
8, comma 8, lettera d), della legge 29 dicembre 1993, n. 580, alle camere di commercio, industria,
artigianato e agricoltura, possono effettuare la notificazione per il tramite di queste ultime, secondo
le modalità stabilite con il regolamento di cui all’articolo 33, comma 3. I piccoli imprenditori e gli artigiani possono effettuare la notificazione anche per il tramite delle rispettive rappresentanze di categoria; gli iscritti agli albi professionali anche per il tramite dei rispettivi ordini professionali. Resta
in ogni caso ferma la disposizione di cui al comma 3.
5-bis (1). La notificazione in forma semplificata può non contenere taluno degli elementi di cui al
comma 4, lettere b), c), e) e g), individuati dal Garante ai sensi del regolamento di cui all’articolo 33,
comma 3, quando il trattamento è effettuato:
a) da soggetti pubblici, esclusi gli enti pubblici economici, sulla base di espressa disposizione di legge ai sensi degli articoli 22, comma 3 e 24, ovvero del provvedimento di cui al medesimo articolo 24;
b) nell’esercizio della professione di giornalista e per l’esclusivo perseguimento delle relative finalità, ovvero dai soggetti indicati nel comma 4-bis dell’articolo 25, nel rispetto del codice di deontologia di cui al medesimo articolo;
c) temporaneamente senza l’ausilio di mezzi elettronici o comunque automatizzati, ai soli fini
e con le modalità strettamente collegate all’organizzazione interna dell’attività esercitata dal tito-
(1) Commi aggiunti dall’art. 1, comma 1, d.lg. 28 luglio 1997, n. 255.
155
Normativa
lare, relativamente a dati non registrati in una banca di dati e diversi da quelli di cui agli articoli 22 e 24;
c-bis) (2) per scopi storici, di ricerca scientifica e di statistica in conformità alle leggi, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi
dell’articolo 31.
5-ter (1). Fuori dei casi di cui all’articolo 4, il trattamento non è soggetto a notificazione quando:
a) è necessario per l’assolvimento di un compito previsto dalla legge, da un regolamento o dalla
normativa comunitaria, relativamente a dati diversi da quelli indicati negli articoli 22 e 24;
b) riguarda dati contenuti o provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità di cui all’articolo 20, comma 1, lettera b);
c) è effettuato per esclusive finalità di gestione del protocollo, relativamente ai dati necessari per
la classificazione della corrispondenza inviata per fini diversi da quelli di cui all’articolo 13, comma 1,
lettera e), con particolare riferimento alle generalità e ai recapiti degli interessati, alla loro qualifica e
all’organizzazione di appartenenza;
d) riguarda rubriche telefoniche o analoghe non destinate alla diffusione, utilizzate unicamente
per ragioni d’ufficio e di lavoro e comunque per fini diversi da quelli di cui all’articolo 13, comma 1,
lettera e);
e) è finalizzato unicamente all’adempimento di specifici obblighi contabili, retributivi, previdenziali, assistenziali e fiscali, ed è effettuato con riferimento alle sole categorie di dati, di interessati e di
destinatari della comunicazione e diffusione strettamente collegate a tale adempimento, conservando i
dati non oltre il periodo necessario all’adempimento medesimo;
f) è effettuato, salvo quanto previsto dal comma 5-bis, lettera b), da liberi professionisti iscritti in
albi o elenchi professionali, per le sole finalità strettamente collegate all’adempimento di specifiche prestazioni e fermo restando il segreto professionale;
g) è effettuato dai piccoli imprenditori di cui all’articolo 2083 del codice civile per le sole finalità
strettamente collegate allo svolgimento dell’attività professionale esercitata, e limitatamente alle categorie di dati, di interessati, di destinatari della comunicazione e diffusione e al periodo di conservazione dei dati necessari per il perseguimento delle finalità medesime;
h) è finalizzato alla tenuta di albi o elenchi professionali in conformità alle leggi e ai regolamenti;
i) è effettuato per esclusive finalità dell’ordinaria gestione di biblioteche, musei e mostre, in
conformità alle leggi e ai regolamenti, ovvero per la organizzazione di iniziative culturali o sportive o
per la formazione di cataloghi e bibliografie;
l) è effettuato da associazioni, fondazioni, comitati anche a carattere politico, filosofico, religioso
o sindacale, ovvero da loro organismi rappresentativi, istituiti per scopi non di lucro e per il perseguimento di finalità lecite, relativamente a dati inerenti agli associati e ai soggetti che in relazione a tali
finalità hanno contatti regolari con l’associazione, la fondazione, il comitato o l’organismo, fermi restando gli obblighi di informativa degli interessati e di acquisizione del consenso, ove necessario;
m) è effettuato dalle organizzazioni di volontariato di cui alla legge 11 agosto 1991, n. 266, nei
limiti di cui alla lettera l) e nel rispetto delle autorizzazioni e delle prescrizioni di legge di cui agli articoli 22 e 23;
n) è effettuato temporaneamente ed è finalizzato esclusivamente alla pubblicazione o diffusione occasionale di articoli, saggi e altre manifestazioni del pensiero, nel rispetto del codice di deontologia di
cui all’articolo 25;
o) è effettuato, anche con mezzi elettronici o comunque automatizzati, per la redazione di periodici o pubblicazioni aventi finalità di informazione giuridica, relativamente a dati desunti da provvedimenti dell’autorità giudiziaria o di altre autorità;
p) è effettuato temporaneamente per esclusive finalità di raccolta di adesioni a proposte di legge
d’iniziativa popolare, a richieste di referendum, a petizioni o ad appelli;
q) è finalizzato unicamente all’amministrazione dei condomini di cui all’articolo 1117 e seguenti del codice civile, limitatamente alle categorie di dati, di interessati e di destinatari della comunica(2) Lettera inserita dall’art. 2, comma 1, lett. a), d.lg. 30 luglio 1999, n. 281.
(3) Lettera inserita dall’art. 2, comma 1, lett. b), d.lg. 30 luglio 1999, n. 281.
156
Normativa
zione necessarie per l’amministrazione dei beni comuni, conservando i dati non oltre il periodo necessario per la tutela dei corrispondenti diritti;
q-bis) (3) è compreso nel programma statistico nazionale o in atti di programmazione statistica previsti dalla legge ed è effettuato in conformità alle leggi, ai regolamenti, alla normativa comunitaria e
ai codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31.
5-quater (1). Il titolare si può avvalere della notificazione semplificata o dell’esonero di cui ai commi 5-bis e 5-ter, sempre che il trattamento riguardi unicamente le finalità, le categorie di dati, di interessati e di destinatari della comunicazione e diffusione, individuate, unitamente al periodo di
conservazione dei dati, dai medesimi commi 5-bis e 5-ter, nonché:
a) nei casi di cui ai commi 5-bis, lettera a) e 5-ter, lettere a) e m), dalle disposizioni di legge o di
regolamento o dalla normativa comunitaria ivi indicate;
b) nel caso di cui al comma 5-bis, lettera b), dal codice di deontologia ivi indicato;
c) nei casi residui, dal Garante con le autorizzazioni rilasciate con le modalità previste dall’articolo 41, comma 7, ovvero, per i dati diversi da quelli di cui agli articoli 22 e 24, con provvedimenti analoghi.
5-quinquies (1). Il titolare che si avvale dell’esonero di cui al comma 5-ter deve fornire gli elementi di cui al comma 4 a chiunque ne faccia richiesta.
Art. 8.
(Responsabile)
1. Il responsabile, se designato, deve essere nominato tra soggetti che per esperienza, capacità
ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di
trattamento, ivi compreso il profilo relativo alla sicurezza.
2. Il responsabile procede al trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al
comma 1 e delle proprie istruzioni.
3. Ove necessario per esigenze organizzative, possono essere designati responsabili più soggetti, anche mediante suddivisione di compiti.
4. I compiti affidati al responsabile devono essere analiticamente specificati per iscritto.
5. Gli incaricati del trattamento devono elaborare i dati personali ai quali hanno accesso attenendosi alle istruzioni del titolare o del responsabile.
CAPO III
TRATTAMENTO DEI DATI PERSONALI
Sezione I
RACCOLTA E REQUISITI DEI DATI
Art. 9.
(Modalità di raccolta e requisiti dei dati personali)
1. I dati personali oggetto di trattamento devono essere:
a) trattati in modo lecito e secondo correttezza;
b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini non incompatibili con tali scopi;
c) esatti e, se necessario, aggiornati;
157
Normativa
d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati;
e) conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo
non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.
1-bis (4). Il trattamento di dati personali per scopi storici, di ricerca scientifica o di statistica è compatibile con gli scopi per i quali i dati sono raccolti o successivamente trattati e può essere effettuato anche oltre il periodo necessario a questi ultimi scopi.
Art. 10.
(Informazioni rese al momento della raccolta)
1. (5) L’interessato o la persona presso la quale sono raccolti i dati personali devono essere previamente informati oralmente o per iscritto circa:
a) le finalità e le modalità del trattamento cui sono destinati i dati;
b) la natura obbligatoria o facoltativa del conferimento dei dati;
c) le conseguenze di un eventuale rifiuto di rispondere;
d) i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati e l’ambito di diffusione dei dati medesimi;
e) i diritti di cui all’articolo 13;
f) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del titolare e, se designato, del responsabile.
2. L’informativa di cui al comma 1 può non comprendere gli elementi già noti alla persona che
fornisce i dati o la cui conoscenza può ostacolare l’espletamento di funzioni pubbliche ispettive o di
controllo, svolte per il perseguimento delle finalità di cui agli articoli 4, comma 1, lettera e), e 14,
comma 1, lettera d).
3. Quando i dati personali non sono raccolti presso l’interessato, l’informativa di cui al comma
1 è data al medesimo interessato all’atto della registrazione dei dati o, qualora sia prevista la loro comunicazione, non oltre la prima comunicazione.
4. La disposizione di cui al comma 3 non si applica quando l’informativa all’interessato comporta un impiego di mezzi che il Garante dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si rivela, a giudizio del Garante, impossibile, ovvero nel caso in cui i dati sono trattati in base
ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria. La medesima disposizione non si applica, altresì, quando i dati sono trattati ai fini dello svolgimento delle investigazioni di cui all’articolo 38 delle norme di attuazione, di coordinamento e transitorie del codice di
procedura penale, approvate con decreto legislativo 28 luglio 1989, n. 271, e successive modificazioni, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento.
Sezione II
DIRITTI DELL’INTERESSATO NEL TRATTAMENTO DEI DATI
Art. 11.
(Consenso)
1. Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell’interessato.
(4) Comma aggiunto dall’art. 3, d.lg. 30 luglio 1999, n. 281.
(5) Comma così modificato dall’art. 1, d.lg. 9 maggio 1997, n. 123.
158
Normativa
2. Il consenso può riguardare l’intero trattamento ovvero una o più operazioni dello stesso.
3. Il consenso è validamente prestato solo se è espresso liberamente, in forma specifica e documentata per iscritto, e se sono state rese all’interessato le informazioni di cui all’articolo 10.
Art. 12.
(Casi di esclusione del consenso)
1. Il consenso non è richiesto quando il trattamento:
a) riguarda dati raccolti e detenuti in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
b) è necessario per l’esecuzione di obblighi derivanti da un contratto del quale è parte l’interessato o per l’acquisizione di informative precontrattuali attivate su richiesta di quest’ultimo, ovvero per l’adempimento di un obbligo legale;
c) riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da
chiunque;
d) (6) è finalizzato unicamente a scopi di ricerca scientifica o di statistica ed è effettuato nel rispetto
dei codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31;
e) (7) è effettuato nell’esercizio della professione di giornalista e per l’esclusivo perseguimento
delle relative finalità. In tale caso, si applica il codice di deontologia di cui all’articolo 25;
f) riguarda dati relativi allo svolgimento di attività economiche raccolti anche ai fini indicati nell’articolo 13, comma 1, lettera e), nel rispetto della vigente normativa in materia di segreto aziendale
e industriale;
g) è necessario per la salvaguardia della vita o dell’incolumità fisica dell’interessato o di un terzo, nel caso in cui l’interessato non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità d’intendere o di volere;
h) è necessario ai fini dello svolgimento delle investigazioni di cui all’articolo 38 delle norme di
attuazione, di coordinamento e transitorie del codice di procedura penale, approvate con decreto legislativo 28 luglio 1989, n. 271, e successive modificazioni, o, comunque, per far valere o difendere
un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il
periodo strettamente necessario al loro perseguimento.
Art. 13.
(Diritti dell’interessato)
1. In relazione al trattamento di dati personali l’interessato ha diritto:
a) di conoscere, mediante accesso gratuito al registro di cui all’articolo 31, comma 1, lettera a),
l’esistenza di trattamenti di dati che possono riguardarlo;
b) di essere informato su quanto indicato all’articolo 7, comma 4, lettere a), b) e h);
c) di ottenere, a cura del titolare o del responsabile, senza ritardo:
1) la conferma dell’esistenza o meno di dati personali che lo riguardano, anche se non ancora
registrati, e la comunicazione in forma intelligibile dei medesimi dati e della loro origine, nonché della logica e delle finalità su cui si basa il trattamento; la richiesta può essere rinnovata, salva l’esistenza di giustificati motivi, con intervallo non minore di novanta giorni;
2) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione
di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i
dati sono stati raccolti o successivamente trattati;
3) l’aggiornamento, la rettificazione ovvero, qualora vi abbia interesse, l’integrazione dei dati;
(6) Lettera così sostituita dall’art. 4, comma 1, d.lg. 30 luglio 1999, n. 281.
(7) Lettera così modificata dall’art. 12, comma 1, d.lg. 13 maggio 1998, n. 171.
159
Normativa
4) l’attestazione che le operazioni di cui ai numeri 2) e 3) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si riveli impossibile o comporti un impiego di mezzi
manifestamente sproporzionato rispetto al diritto tutelato;
d) di opporsi, in tutto o in parte, per motivi legittimi, al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta;
e) di opporsi, in tutto o in parte, al trattamento di dati personali che lo riguardano, previsto a fini di informazione commerciale o di invio di materiale pubblicitario o di vendita diretta ovvero per il
compimento di ricerche di mercato o di comunicazione commerciale interattiva e di essere informato
dal titolare, non oltre il momento in cui i dati sono comunicati o diffusi, della possibilità di esercitare gratuitamente tale diritto.
2. Per ciascuna richiesta di cui al comma 1, lettera c), numero 1), può essere chiesto all’interessato, ove non risulti confermata l’esistenza di dati che lo riguardano, un contributo spese, non superiore ai costi effettivamente sopportati, secondo le modalità ed entro i limiti stabiliti dal
regolamento di cui all’articolo 33, comma 3.
3. I diritti di cui al comma 1 riferiti ai dati personali concernenti persone decedute possono essere esercitati da chiunque vi abbia interesse.
4. Nell’esercizio dei diritti di cui al comma 1 l’interessato può conferire, per iscritto, delega o
procura a persone fisiche o ad associazioni.
5. Restano ferme le norme sul segreto professionale degli esercenti la professione di giornalista,
limitatamente alla fonte della notizia.
Art. 14.
(Limiti all’esercizio dei diritti)
1. I diritti di cui all’articolo 13, comma 1, lettere c) e d), non possono essere esercitati nei confronti dei trattamenti di dati personali raccolti:
a) in base alle disposizioni del decreto-legge 3 maggio 1991, n. 143, convertito, con modificazioni, dalla legge 5 luglio 1991, n. 197, e successive modificazioni;
b) in base alle disposizioni del decreto-legge 31 dicembre 1991, n. 419, convertito, con modificazioni, dalla legge 18 febbraio 1992, n. 172, e successive modificazioni;
c) da Commissioni parlamentari d’inchiesta istituite ai sensi dell’articolo 82 della Costituzione;
d) da un soggetto pubblico, diverso dagli enti pubblici economici, in base ad espressa disposizione di legge, per esclusive finalità inerenti la politica monetaria e valutaria, il sistema dei pagamenti, il controllo degli intermediari e dei mercati creditizi e finanziari nonché la tutela della loro stabilità;
e) ai sensi dell’articolo 12, comma 1, lettera h), limitatamente al periodo durante il quale potrebbe derivarne pregiudizio per lo svolgimento delle investigazioni o per l’esercizio del diritto di cui
alla medesima lettera h).
2. Nei casi di cui al comma 1 il Garante, anche su segnalazione dell’interessato ai sensi dell’articolo 31, comma 1, lettera d), esegue i necessari accertamenti nei modi di cui all’articolo 32, commi 6 e 7, e indica le necessarie modificazioni ed integrazioni, verificandone l’attuazione.
Sezione III
SICUREZZA NEL TRATTAMENTO DEI DATI, LIMITI ALLA UTILIZZABILITÀ DEI DATI E RISARCIMENTO DEL DA NNO
Art. 15.
(Sicurezza dei dati)
1. I dati personali oggetto di trattamento devono essere custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche carat-
160
Normativa
teristiche del trattamento, in modo da ridurre al minimo, mediante l’adozione di idonee e preventive
misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non
autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.
2. Le misure minime di sicurezza da adottare in via preventiva sono individuate con regolamento
emanato con decreto del Presidente della Repubblica, ai sensi dell’articolo 17, comma 1, lettera a),
della legge 23 agosto 1988, n. 400, entro centottanta giorni dalla data di entrata in vigore della presente legge, su proposta del Ministro di grazia e giustizia, sentiti l’Autorità per l’informatica nella pubblica amministrazione e il Garante.
3. Le misure di sicurezza di cui al comma 2 sono adeguate, entro due anni dalla data di entrata
in vigore della presente legge e successivamente con cadenza almeno biennale, con successivi regolamenti emanati con le modalità di cui al medesimo comma 2, in relazione all’evoluzione tecnica del
settore e all’esperienza maturata.
4. Le misure di sicurezza relative ai dati trattati dagli organismi di cui all’articolo 4, comma 1,
lettera b), sono stabilite con decreto del Presidente del Consiglio dei ministri con l’osservanza delle
norme che regolano la materia.
Art. 16.
(Cessazione del trattamento dei dati)
1. In caso di cessazione, per qualsiasi causa, del trattamento dei dati, il titolare deve notificare
preventivamente al Garante la loro destinazione.
2. I dati possono essere:
a) distrutti;
b) ceduti ad altro titolare, purché destinati ad un trattamento per finalità analoghe agli scopi per
i quali i dati sono raccolti;
c) conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione;
c-bis) (8) conservati o ceduti ad altro titolare, per scopi storici, di ricerca scientifica e di statistica,
in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di
buona condotta sottoscritti ai sensi dell’articolo 31.
3. La cessione dei dati in violazione di quanto previsto dalla lettera b) del comma 2 o di altre
disposizioni di legge in materia di trattamento dei dati personali è nulla ed è punita ai sensi dell’articolo 39, comma 1.
Art. 17.
(Limiti all’utilizzabilità di dati personali)
1. Nessun atto o provvedimento giudiziario o amministrativo che implichi una valutazione del
comportamento umano può essere fondato unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato.
2. L’interessato può opporsi ad ogni altro tipo di decisione adottata sulla base del trattamento di
cui al comma 1 del presente articolo, ai sensi dell’articolo 13, comma 1, lettera d), salvo che la decisione sia stata adottata in occasione della conclusione o dell’esecuzione di un contratto, in accoglimento di una proposta dell’interessato o sulla base di adeguate garanzie individuate dalla legge.
Art. 18.
(Danni cagionati per effetto del trattamento di dati personali)
1. Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’articolo 2050 del codice civile.
(8) Lettera inserita dall’art. 5, d.lg. 30 luglio 1999, n. 281.
161
Normativa
Sezione IV
COMUNICAZIONE E DIFFUSIONE DEI DATI
Art. 19. (Incaricati del trattamento)
1. Non si considera comunicazione la conoscenza dei dati personali da parte delle persone incaricate per iscritto di compiere le operazioni del trattamento dal titolare o dal responsabile, e che
operano sotto la loro diretta autorità.
Art. 20.
(Requisiti per la comunicazione e la diffusione dei dati)
1. La comunicazione e la diffusione dei dati personali da parte di privati e di enti pubblici economici sono ammesse:
a) con il consenso espresso dell’interessato;
b) se i dati provengono da pubblici registri, elenchi, atti o documenti conoscibili da chiunque,
fermi restando i limiti e le modalità che le leggi e i regolamenti stabiliscono per la loro conoscibilità
e pubblicità;
c) in adempimento di un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
d) (9) nell’esercizio della professione di giornalista e per l’esclusivo perseguimento delle relative finalità. Restano fermi i limiti del diritto di cronaca posti a tutela della riservatezza ed in particolare dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico. Si applica inoltre il
codice di deontologia di cui all’articolo 25;
e) se i dati sono relativi allo svolgimento di attività economiche, nel rispetto della vigente normativa in materia di segreto aziendale e industriale;
f) qualora siano necessarie per la salvaguardia della vita o dell’incolumità fisica dell’interessato o di un terzo, nel caso in cui l’interessato non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità d’intendere o di volere;
g) limitatamente alla comunicazione, qualora questa sia necessaria ai fini dello svolgimento delle investigazioni di cui all’articolo 38 delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, approvate con decreto legislativo 28 luglio 1989, n. 271, e successive
modificazioni, o, comunque, per far valere o difendere un diritto in sede giudiziaria, nel rispetto della normativa di cui alla lettera e) del presente comma, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento;
h) limitatamente alla comunicazione, quando questa sia effettuata nell’ambito dei gruppi bancari di cui all’articolo 60 del testo unico delle leggi in materia bancaria e creditizia approvato con decreto
legislativo 1° settembre 1993, n. 385, nonché tra società controllate e società collegate ai sensi dell’articolo 2359 del codice civile, i cui trattamenti con finalità correlate sono stati notificati ai sensi dell’articolo 7, comma 2, per il perseguimento delle medesime finalità per le quali i dati sono stati raccolti.
2. Alla comunicazione e alla diffusione dei dati personali da parte di soggetti pubblici, esclusi
gli enti pubblici economici, si applicano le disposizioni dell’articolo 27.
Art. 21.
(Divieto di comunicazione e diffusione)
1. Sono vietate la comunicazione e la diffusione di dati personali per finalità diverse da quelle
indicate nella notificazione di cui all’articolo 7.
(9) Lettera così modificata dall’art. 12, comma 2, d.lg. 13 maggio 1998, n. 171.
162
Normativa
2. Sono altresì vietate la comunicazione e la diffusione di dati personali dei quali sia stata ordinata la cancellazione, ovvero quando sia decorso il periodo di tempo indicato nell’articolo 9, comma
1, lettera e).
3. Il Garante può vietare la diffusione di taluno dei dati relativi a singoli soggetti, od a categorie di soggetti, quando la diffusione si pone in contrasto con rilevanti interessi della collettività. Contro il divieto può essere proposta opposizione ai sensi dell’articolo 29, commi 6 e 7.
4. La comunicazione e la diffusione dei dati sono comunque permesse:
a) (10) qualora siano necessarie per finalità di ricerca scientifica o di statistica e siano effettuate
nel rispetto dei codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31;
b) quando siano richieste dai soggetti di cui all’articolo 4, comma 1, lettere b), d) ed e), per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione di reati, con
l’osservanza delle norme che regolano la materia.
CAPO IV
TRATTAMENTO DI DATI PARTICOLARI
Art. 22.
(Dati sensibili) (11)
1. I dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo
stato di salute e la vita sessuale, possono essere oggetto di trattamento solo con il consenso scritto dell’interessato e previa autorizzazione del Garante.
1-bis. (12) Il comma 1 non si applica ai dati relativi agli aderenti alle confessioni religiose i cui rapporti con lo Stato siano regolati da accordi o intese ai sensi degli articoli 7 e 8 della Costituzione, nonché relativi ai soggetti che con riferimento a finalità di natura esclusivamente religiosa hanno contatti
regolari con le medesime confessioni, che siano trattati dai relativi organi o enti civilmente riconosciuti, sempreché i dati non siano comunicati o diffusi fuori delle medesime confessioni.
Queste ultime determinano idonee garanzie relativamente ai trattamenti effettuati.
2. Il Garante comunica la decisione adottata sulla richiesta di autorizzazione entro trenta giorni, decorsi i quali la mancata pronuncia equivale a rigetto. Con il provvedimento di autorizzazione,
ovvero successivamente, anche sulla base di eventuali verifiche, il Garante può prescrivere misure e
accorgimenti a garanzia dell’interessato, che il titolare del trattamento è tenuto ad adottare.
3. (13) Il trattamento dei dati indicati al comma 1 da parte di soggetti pubblici, esclusi gli
enti pubblici economici, è consentito solo se autorizzato da espressa disposizione di legge, nella
quale siano specificati i dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite. In mancanza di espressa disposizione di legge, e fuori dai
casi previsti dai decreti legislativi di modificazione ed integrazione della presente legge, emanati in attuazione della legge 31 dicembre 1996, n. 676, i soggetti pubblici possono richiedere al
Garante, nelle more della specificazione legislativa, l’individuazione delle attività, tra quelle demandate ai medesimi soggetti dalla legge, che perseguono rilevanti finalità di interesse pubblico e per le quali è conseguentemente autorizzato, ai sensi del comma 2, il trattamento dei dati
indicati al comma 1.
(10) Lettera così sostituita dall’art. 4, comma 2, d.lg. 30 luglio 1999, n. 281.
(11) Per quanto concerne il presente articolo, si richiama l’attenzione sul disposto dell’Articolo 17 (“Tutela della salute”) del d.lg. 11 maggio 1999, n. 135, recante “Disposizioni integrative della legge 31 dicembre 1996, n. 675, sul trattamento di dati sensibili da parte dei soggetti pubblici”.
(12) Comma inserito dall’art. 5, comma 1, d.lg. 11 maggio 1999, n. 135.
(13) Comma così sostituito dall’art. 5, comma 2, d.lg. 11 maggio 1999, n. 135.
163
Normativa
3-bis. (14) Nei casi in cui è specificata, a norma del comma 3, la finalità di rilevante interesse pubblico, ma non sono specificati i tipi di dati e le operazioni eseguibili, i soggetti pubblici, in applicazione di quanto previsto dalla presente legge e dai decreti legislativi di attuazione della legge 31 dicembre
1996, n. 676, in materia di dati sensibili, identificano e rendono pubblici, secondo i rispettivi ordinamenti, i tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite nei singoli casi, aggiornando tale identificazione periodicamente.
4. I dati personali idonei a rivelare lo stato di salute e la vita sessuale possono essere oggetto di
trattamento previa autorizzazione del Garante, qualora il trattamento sia necessario ai fini dello svolgimento delle investigazioni di cui all’articolo 38 delle norme di attuazione, di coordinamento e
transitorie del codice di procedura penale, approvate con decreto legislativo 28 luglio 1989, n. 271,
e successive modificazioni, o, comunque, per far valere o difendere in sede giudiziaria un diritto di
rango pari a quello dell’interessato, sempre che i dati siano trattati esclusivamente per tali finalità e
per il periodo strettamente necessario al loro perseguimento. Il Garante prescrive le misure e gli accorgimenti di cui al comma 2 e promuove la sottoscrizione di un apposito codice di deontologia e di
buona condotta secondo le modalità di cui all’articolo 31, comma 1, lettera h). Resta fermo quanto
previsto dall’articolo 43, comma 2.
Art. 23.
(Dati inerenti alla salute) 15
1. Gli esercenti le professioni sanitarie e gli organismi sanitari pubblici possono, anche senza
l’autorizzazione del Garante, trattare i dati personali idonei a rivelare lo stato di salute, limitatamente
ai dati e alle operazioni indispensabili per il perseguimento di finalità di tutela dell’incolumità fisica e
della salute dell’interessato. Se le medesime finalità riguardano un terzo o la collettività, in mancanza
del consenso dell’interessato, il trattamento può avvenire previa autorizzazione del Garante.
1-bis. (16) Con decreto del Ministro della sanità adottato ai sensi dell’articolo 17, comma 3, della
legge 23 agosto 1988, n. 400, sentiti la Conferenza permanente per i rapporti tra lo Stato, le regioni e
le province autonome di Trento e Bolzano e il Garante, sono individuate modalità semplificate per le
informative di cui all’articolo 10 e per la prestazione del consenso nei confronti di organismi sanitari
pubblici, di organismi sanitari e di esercenti le professioni sanitarie convenzionati o accreditati dal Servizio sanitario nazionale, nonché per il trattamento dei dati da parte dei medesimi soggetti, sulla base
dei seguenti criteri:
a) previsione di informative effettuate da un unico soggetto, in particolare da parte del medico di
medicina generale scelto dall’interessato, per conto di più titolari di trattamento;
b) validità, nei confronti di più titolari di trattamento, del consenso prestato ai sensi dell’articolo
11, comma 3, per conto di più titolari di trattamento, anche con riguardo alla richiesta di prestazioni
specialistiche, alla prescrizione di farmaci, alla raccolta di dati da parte del medico di medicina generale detenuti da altri titolari, e alla pluralità di prestazioni mediche effettuate da un medesimo titolare di trattamento;
c) identificazione dei casi di urgenza nei quali, anche per effetto delle situazioni indicate nel comma 1-ter, l’informativa e il consenso possono intervenire successivamente alla richiesta della prestazione;
d) previsione di modalità di applicazione del comma 2 del presente articolo ai professionisti sanitari, diversi dai medici, che intrattengono rapporti diretti con i pazienti;
e) previsione di misure volte ad assicurare che nell’organizzazione dei servizi e delle prestazioni sia
garantito il rispetto dei diritti di cui all’articolo 1.
1-ter. (16) Il decreto di cui al comma 1 disciplina anche quanto previsto dall’articolo 22, comma 3bis, della legge.
(14) Comma inserito dall’art. 5, comma 3, d.lg. 11 maggio 1999, n. 135.
(15) Si richiama l’attenzione sul disposto dell’art. 17 (“Tutela della salute”) del d.lg. 11 maggio 1999, n. 135, recante “Disposizioni integrative della legge 31 dicembre 1996, n. 675, sul trattamento di dati sensibili da parte dei soggetti pubblici”.
(16) Commi inseriti dall’art. 2, comma 1, d.lg. 30 luglio 1999, n. 282.
164
Normativa
1-quater. (16) In caso di incapacità di agire, ovvero di impossibilità fisica o di incapacità di intendere o di volere, il consenso al trattamento dei dati idonei a rivelare lo stato di salute è validamente manifestato nei confronti di esercenti le professioni sanitarie e di organismi sanitari, rispettivamente, da
chi esercita legalmente la potestà ovvero da un familiare, da un prossimo congiunto, da un convivente,
o, in loro assenza, dal responsabile della struttura presso cui dimori.
2. (17) I dati personali idonei a rivelare lo stato di salute possono essere resi noti all’interessato o ai
soggetti di cui al comma 1-ter solo per il tramite di un medico designato dall’interessato o dal titolare.
3. L’autorizzazione di cui al comma 1 è rilasciata, salvi i casi di particolare urgenza, sentito il
Consiglio superiore di sanità. È vietata la comunicazione dei dati ottenuti oltre i limiti fissati con l’autorizzazione.
4. La diffusione dei dati idonei a rivelare lo stato di salute è vietata, salvo nel caso in cui sia necessaria per finalità di prevenzione, accertamento o repressione dei reati, con l’osservanza delle norme che regolano la materia.
Art. 24.
(Dati relativi ai provvedimenti di cui all’articolo 686 del codice di procedura penale)
1. Il trattamento di dati personali idonei a rivelare provvedimenti di cui all’articolo 686, commi
1, lettere a) e d), 2 e 3, del codice di procedura penale, è ammesso soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e le precise operazioni autorizzate.
Art. 25.
(Trattamento di dati particolari nell’esercizio della professione di giornalista)
1. (18) Le disposizioni relative al consenso dell’interessato e all’autorizzazione del Garante, nonché
il limite previsto dall’articolo 24, non si applicano quando il trattamento dei dati di cui agli articoli
22 e 24 è effettuato nell’esercizio della professione di giornalista e per l’esclusivo perseguimento delle
relative finalità. Il giornalista rispetta i limiti del diritto di cronaca, in particolare quello dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico, ferma restando la possibilità di trattare
i dati relativi a circostanze o fatti resi noti direttamente dall’interessato o attraverso i suoi comportamenti in pubblico.
2. (19) Il Garante promuove, nei modi di cui all’articolo 31, comma 1, lettera h), l’adozione, da
parte del Consiglio nazionale dell’ordine dei giornalisti, di un apposito codice di deontologia relativo
al trattamento dei dati di cui al comma 1 del presente articolo effettuato nell’esercizio della professione di giornalista, che preveda misure ed accorgimenti a garanzia degli interessati rapportate alla
natura dei dati, in particolare per quanto riguarda quelli idonei a rivelare lo stato di salute e la vita
sessuale. Nella fase di formazione del codice, ovvero successivamente, il Garante in cooperazione con
il Consiglio, prescrive eventuali misure e accorgimenti a garanzia degli interessati, che il Consiglio è
tenuto a recepire. Il Codice è pubblicato sulla Gazzetta Ufficiale a cura del Garante, e diviene efficace
quindici giorni dopo la sua pubblicazione.
3. Ove entro sei mesi dalla proposta del Garante il codice di deontologia di cui al comma 2 non
sia stato adottato dal Consiglio nazionale dell’Ordine dei giornalisti, esso è adottato in via sostitutiva
dal Garante ed è efficace sino alla adozione di un diverso codice secondo la procedura di cui al comma 2. In caso di violazione delle prescrizioni contenute nel codice di deontologia, il Garante può vietare il trattamento ai sensi dell’articolo 31, comma 1, lettera l).
17 Comma così modificato dall’art. 2, comma 2, d.lg. 30 luglio 1999, n. 282.
18 Comma così sostituito dall’art. 12, comma 3, d.lg. 13 maggio 1998, n. 171.
19 Comma così modificato dall’art. 12, comma 4, d.lg. 13 maggio 1998, n. 171.
165
Normativa
4. (20) Nel codice di cui ai commi 2 e 3 sono inserite, altresì, prescrizioni concernenti i dati personali diversi da quelli indicati negli articoli 22 e 24. Il codice può prevedere forme semplificate per le
informative di cui all’articolo 10.
4-bis. (21) Le disposizioni della presente legge che attengono all’esercizio della professione di giornalista si applicano anche ai trattamenti effettuati dai soggetti iscritti nell’elenco dei pubblicisti o nel
registro dei praticanti di cui agli articoli 26 e 33 della legge 3 febbraio 1963, n. 69, nonché ai trattamenti temporanei finalizzati esclusivamente alla pubblicazione occasionale di articoli, saggi e altre
manifestazioni del pensiero.
Art. 26.
(Dati concernenti persone giuridiche)
1. Il trattamento nonché la cessazione del trattamento di dati concernenti persone giuridiche,
enti o associazioni non sono soggetti a notificazione.
2. Ai dati riguardanti persone giuridiche, enti o associazioni non si applicano le disposizioni dell’articolo 28.
CAPO V
TRATTAMENTI SOGGETTI A REGIME SPECIALE
Art. 27.
(Trattamento da parte di soggetti pubblici)
1. Salvo quanto previsto al comma 2, il trattamento di dati personali da parte di soggetti pubblici, esclusi gli enti pubblici economici, è consentito soltanto per lo svolgimento delle funzioni istituzionali, nei limiti stabiliti dalla legge e dai regolamenti.
2. La comunicazione e la diffusione a soggetti pubblici, esclusi gli enti pubblici economici, dei
dati trattati sono ammesse quando siano previste da norme di legge o di regolamento, o risultino comunque necessarie per lo svolgimento delle funzioni istituzionali. In tale ultimo caso deve esserne data previa comunicazione nei modi di cui all’articolo 7, commi 2 e 3 al Garante che vieta, con
provvedimento motivato, la comunicazione o la diffusione se risultano violate le disposizioni della
presente legge.
3. La comunicazione e la diffusione dei dati personali da parte di soggetti pubblici a privati o a
enti pubblici economici sono ammesse solo se previste da norme di legge o di regolamento.
4. I criteri di organizzazione delle amministrazioni pubbliche di cui all’articolo 5 del decreto legislativo 3 febbraio 1993, n. 29, sono attuati nel pieno rispetto delle disposizioni della presente legge.
Art. 28.
(Trasferimento di dati personali all’estero)
1. Il trasferimento anche temporaneo fuori del territorio nazionale, con qualsiasi forma o mezzo,
di dati personali oggetto di trattamento deve essere previamente notificato al Garante, qualora sia diretto verso un Paese non appartenente all’Unione europea o riguardi taluno dei dati di cui agli articoli 22 e 24.
20 Comma così modificato dall’art. 2, comma 1, d.lg. 9 maggio 1997, n. 123.
21 Comma aggiunto dall’art. 2, comma 2, d.lg. 9 maggio 1997, n. 123.
166
Normativa
2. Il trasferimento può avvenire soltanto dopo quindici giorni dalla data della notificazione; il
termine è di venti giorni qualora il trasferimento riguardi taluno dei dati di cui agli articoli 22 e 24.
3. Il trasferimento è vietato qualora l’ordinamento dello Stato di destinazione o di transito dei dati non assicuri un livello di tutela delle persone adeguato ovvero, se si tratta dei dati di cui agli articoli
22 e 24, di grado pari a quello assicurato dall’ordinamento italiano. Sono valutate anche le modalità del
trasferimento e dei trattamenti previsti, le relative finalità, la natura dei dati e le misure di sicurezza.
4. Il trasferimento è comunque consentito qualora:
a) l’interessato abbia manifestato il proprio consenso espresso ovvero, se il trasferimento riguarda taluno dei dati di cui agli articoli 22 e 24, in forma scritta;
b) sia necessario per l’esecuzione di obblighi derivanti da un contratto del quale è parte l’interessato o per l’acquisizione di informative precontrattuali attivate su richiesta di quest’ultimo, ovvero per la conclusione o per l’esecuzione di un contratto stipulato a favore dell’interessato;
c) sia necessario per la salvaguardia di un interesse pubblico rilevante individuato con legge o
con regolamento, ovvero specificato ai sensi degli articoli 22, comma 3 e 24, se il trasferimento riguarda taluno dei dati ivi previsti;
d) sia necessario ai fini dello svolgimento delle investigazioni di cui all’articolo 38 delle norme
di attuazione, di coordinamento e transitorie del codice di procedura penale, approvate con decreto
legislativo 28 luglio 1989, n. 271, e successive modificazioni, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trasferiti esclusivamente per tali finalità e per
il periodo strettamente necessario al loro perseguimento;
e) sia necessario per la salvaguardia della vita o dell’incolumità fisica dell’interessato o di un
terzo, nel caso in cui l’interessato non può prestare il proprio consenso per impossibilità fisica, per
incapacità di agire o per incapacità d’intendere o di volere;
f) sia effettuato in accoglimento di una richiesta di accesso ai documenti amministrativi, ovvero di una richiesta di informazioni estraibili da un pubblico registro, elenco, atto o documento conoscibile da chiunque, con l’osservanza delle norme che regolano la materia;
g) sia autorizzato dal Garante sulla base di adeguate garanzie per i diritti dell’interessato, prestate anche con un contratto;
g-bis) (22) il trattamento sia finalizzato unicamente a scopi di ricerca scientifica o di statistica e sia
effettuato nel rispetto dei codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31.
5. Contro il divieto di cui al comma 3 del presente articolo può essere proposta opposizione ai
sensi dell’articolo 29, commi 6 e 7.
6. Le disposizioni del presente articolo non si applicano al trasferimento di dati personali effettuato
nell’esercizio della professione di giornalista e per l’esclusivo perseguimento delle relative finalità.
7. La notificazione di cui al comma 1 del presente articolo è effettuata ai sensi dell’articolo 7 ed
è annotata in apposita sezione del registro previsto dall’articolo 31, comma 1, lettera a). La notificazione può essere effettuata con un unico atto unitamente a quella prevista dall’articolo 7.
CAPO VI
TUTELA AMMINISTRATIVA E GIURISDIZIONALE
Art. 29.
(Tutela)
1. I diritti di cui all’articolo 13, comma 1, possono essere fatti valere dinanzi all’autorità giudiziaria o con ricorso al Garante. Il ricorso al Garante non può essere proposto qualora, per il medesimo oggetto e tra le stesse parti, sia stata già adita l’autorità giudiziaria.
22 Lettera inserita dall’art. 4, comma 3, d.lg. 30 luglio 1999, n. 281.
167
Normativa
2. Salvi i casi in cui il decorso del termine esporrebbe taluno a pregiudizio imminente ed irreparabile, il ricorso al Garante può essere proposto solo dopo che siano decorsi cinque giorni dalla richiesta avanzata sul medesimo oggetto al responsabile. La presentazione del ricorso rende
improponibile un’ulteriore domanda dinanzi all’autorità giudiziaria tra le stesse parti e per il medesimo oggetto.
3. Nel procedimento dinanzi al Garante il titolare, il responsabile e l’interessato hanno diritto di
essere sentiti, personalmente o a mezzo di procuratore speciale, e hanno facoltà di presentare memorie o documenti. Il Garante può disporre, anche d’ufficio, l’espletamento di perizie.
4. Assunte le necessarie informazioni il Garante, se ritiene fondato il ricorso, ordina al titolare e
al responsabile, con decisione motivata, la cessazione del comportamento illegittimo, indicando le misure necessarie a tutela dei diritti dell’interessato e assegnando un termine per la loro adozione. Il provvedimento è comunicato senza ritardo alle parti interessate, a cura dell’ufficio del Garante. La mancata
pronuncia sul ricorso, decorsi trenta (23) giorni dalla data di presentazione, equivale a rigetto.
5. Se la particolarità del caso lo richiede, il Garante può disporre in via provvisoria il blocco in
tutto o in parte di taluno dei dati ovvero l’immediata sospensione di una o più operazioni del trattamento. Il provvedimento cessa di avere ogni effetto se, entro i successivi venti giorni, non è adottata
la decisione di cui al comma 4 ed è impugnabile unitamente a tale decisione.
6. Avverso il provvedimento espresso o il rigetto tacito di cui al comma 4, il titolare o l’interessato possono proporre opposizione al tribunale del luogo ove risiede il titolare, entro il termine di trenta giorni dalla data di comunicazione del provvedimento o dalla data del rigetto tacito. L’opposizione
non sospende l’esecuzione del provvedimento.
6-bis (24). Il decorso dei termini previsti dai commi 4, 5 e 6 è sospeso di diritto dal 1° al 30 agosto
di ciascun anno e riprende a decorrere dalla fine del periodo di sospensione. Ove il decorso abbia inizio durante tale periodo, l’inizio stesso è differito alla fine del periodo medesimo. La sospensione non
opera nei casi in cui sussista il pregiudizio di cui al comma 2 e non preclude l’adozione dei provvedimenti di cui al comma 5.
7. Il tribunale provvede nei modi di cui agli articoli 737 e seguenti del codice di procedura civile, anche in deroga al divieto di cui all’articolo 4 della legge 20 marzo 1865, n. 2248, allegato E),
e può sospendere, a richiesta, l’esecuzione del provvedimento. Avverso il decreto del tribunale è ammesso unicamente il ricorso per cassazione.
8. Tutte le controversie, ivi comprese quelle inerenti il rilascio dell’autorizzazione di cui all’articolo 22, comma 1, o che riguardano, comunque, l’applicazione della presente legge, sono di competenza dell’autorità giudiziaria ordinaria.
9. Il danno non patrimoniale è risarcibile anche nei casi di violazione dell’articolo 9.
CAPO VII
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI (25)
Art. 30.
(Istituzione del Garante)
1. (26) È istituito il Garante per la protezione dei dati personali.
2. Il Garante opera in piena autonomia e con indipendenza di giudizio e di valutazione.
3. Il Garante è organo collegiale costituito da quattro membri, eletti due dalla Camera dei deputati e due dal Senato della Repubblica con voto limitato. Essi eleggono nel loro ambito un presi-
23 Parola così sostituita dall’art. 13, comma 1, lett. a), d.lg. 30 luglio 1999, n. 281.
24 Comma inserito dall’art. 13, comma 1, lett. b), d.lg. 30 luglio 1999, n. 281.
25 Denominazione così modificata dall’art. 3, comma 1, d.lg. 9 maggio 1997, n. 123.
26 Comma così modificato dall’art. 3, comma 1, d.lg. 9 maggio 1997, n. 123.
168
Normativa
dente, il cui voto prevale in caso di parità. I membri sono scelti tra persone che assicurino indipendenza e che siano esperti di riconosciuta competenza delle materie del diritto o dell’informatica, garantendo la presenza di entrambe le qualificazioni.
4. Il presidente e i membri durano in carica quattro anni e non possono essere confermati per
più di una volta; per tutta la durata dell’incarico il presidente e i membri non possono esercitare, a
pena di decadenza, alcuna attività professionale o di consulenza, né essere amministratori o dipendenti di enti pubblici o privati, né ricoprire cariche elettive.
5. All’atto dell’accettazione della nomina il presidente e i membri sono collocati fuori ruolo se
dipendenti di pubbliche amministrazioni o magistrati in attività di servizio; se professori universitari
di ruolo, sono collocati in aspettativa senza assegni ai sensi dell’articolo 13 del decreto del Presidente della Repubblica 11 luglio 1980, n. 382, e successive modificazioni. Il personale collocato fuori
ruolo o in aspettativa non può essere sostituito.
6. Al presidente compete una indennità di funzione non eccedente, nel massimo, la retribuzione spettante al primo presidente della Corte di cassazione. Ai membri compete un’indennità di funzione non eccedente, nel massimo, i due terzi di quella spettante al presidente. Le predette indennità
di funzione sono determinate, con il regolamento di cui all’articolo 33, comma 3, in misura tale da poter essere corrisposte a carico degli ordinari stanziamenti.
Art. 31.
(Compiti del Garante)
1. Il Garante ha il compito di:
a) istituire e tenere un registro generale dei trattamenti sulla base delle notificazioni ricevute;
b) controllare se i trattamenti sono effettuati nel rispetto delle norme di legge e di regolamento
e in conformità alla notificazione;
c) segnalare ai relativi titolari o responsabili le modificazioni opportune al fine di rendere il trattamento conforme alle disposizioni vigenti;
d) ricevere le segnalazioni ed i reclami degli interessati o delle associazioni che li rappresentano, relativi ad inosservanze di legge o di regolamento, e provvedere sui ricorsi presentati ai sensi dell’articolo 29;
e) adottare i provvedimenti previsti dalla legge o dai regolamenti;
f) vigilare sui casi di cessazione, per qualsiasi causa, di un trattamento;
g) denunciare i fatti configurabili come reati perseguibili d’ufficio, dei quali viene a conoscenza nell’esercizio o a causa delle sue funzioni;
h) promuovere nell’ambito delle categorie interessate, nell’osservanza del principio di rappresentatività, la sottoscrizione di codici di deontologia e di buona condotta per determinati settori, verificarne la conformità alle leggi e ai regolamenti anche attraverso l’esame di osservazioni di soggetti
interessati e contribuire a garantirne la diffusione e il rispetto;
i) curare la conoscenza tra il pubblico delle norme che regolano la materia e delle relative finalità, nonché delle misure di sicurezza dei dati di cui all’articolo 15;
l) vietare, in tutto o in parte, il trattamento dei dati o disporne il blocco quando, in considerazione della natura dei dati o, comunque, delle modalità del trattamento o degli effetti che esso può determinare, vi è il concreto rischio del verificarsi di un pregiudizio rilevante per uno o più interessati;
m) segnalare al Governo l’opportunità di provvedimenti normativi richiesti dall’evoluzione del
settore;
n) predisporre annualmente una relazione sull’attività svolta e sullo stato di attuazione della presente legge, che è trasmessa al Parlamento e al Governo entro il 30 aprile dell’anno successivo a quello cui si riferisce;
o) curare l’attività di assistenza indicata nel capitolo IV della Convenzione n. 108 sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale, adottata a Strasburgo il 28 gennaio 1981 e resa esecutiva con legge 21 febbraio 1989, n. 98, quale autorità designata
ai fini della cooperazione tra Stati ai sensi dell’articolo 13 della Convenzione medesima;
169
Normativa
p) esercitare il controllo sui trattamenti di cui all’articolo 4 e verificare, anche su richiesta dell’interessato, se rispondono ai requisiti stabiliti dalla legge o dai regolamenti.
2. Il Presidente del Consiglio dei ministri e ciascun ministro consultano il Garante all’atto della predisposizione delle norme regolamentari e degli atti amministrativi suscettibili di incidere sulle
materie disciplinate dalla presente legge.
3. Il registro di cui al comma 1, lettera a), del presente articolo, è tenuto nei modi di cui all’articolo 33, comma 5. Entro il termine di un anno dalla data della sua istituzione, il Garante promuove
opportune intese con le province ed eventualmente con altre pubbliche amministrazioni al fine di assicurare la consultazione del registro mediante almeno un terminale dislocato su base provinciale,
preferibilmente nell’ambito dell’ufficio per le relazioni con il pubblico di cui all’articolo 12 del decreto legislativo 3 febbraio 1993, n. 29, e successive modificazioni.
4. Contro il divieto di cui al comma 1, lettera l), del presente articolo, può essere proposta opposizione ai sensi dell’articolo 29, commi 6 e 7.
5. Il Garante e l’Autorità per l’informatica nella pubblica amministrazione cooperano tra loro
nello svolgimento dei rispettivi compiti; a tal fine, invitano il presidente o un suo delegato membro
dell’altro organo a partecipare alle riunioni prendendo parte alla discussione di argomenti di comune
interesse iscritti all’ordine del giorno; possono richiedere, altresì, la collaborazione di personale specializzato addetto all’altro organo.
6. Le disposizioni del comma 5 si applicano anche nei rapporti tra il Garante e le autorità di vigilanza competenti per il settore creditizio, per le attività assicurative e per la radiodiffusione e l’editoria.
Art. 32.
(Accertamenti e controlli)
1. Per l’espletamento dei propri compiti il Garante può richiedere al responsabile, al titolare, all’interessato o anche a terzi di fornire informazioni e di esibire documenti.
2. Il Garante, qualora ne ricorra la necessità ai fini del controllo del rispetto delle disposizioni in
materia di trattamento dei dati personali, può disporre accessi alle banche di dati o altre ispezioni e verifiche nei luoghi ove si svolge il trattamento o nei quali occorre effettuare rilevazioni comunque utili
al medesimo controllo, avvalendosi, ove necessario, della collaborazione di altri organi dello Stato.
3. Gli accertamenti di cui al comma 2 sono disposti previa autorizzazione del presidente del tribunale competente per territorio in relazione al luogo dell’accertamento, il quale provvede senza ritardo sulla richiesta del Garante, con decreto motivato; le relative modalità di svolgimento sono
individuate con il regolamento di cui all’articolo 33, comma 3.
4. I soggetti interessati agli accertamenti sono tenuti a farli eseguire.
5. Resta fermo quanto previsto dall’articolo 220 delle norme di attuazione, di coordinamento e
transitorie del codice di procedura penale, approvate con decreto legislativo 28 luglio 1989, n. 271.
6. Per i trattamenti di cui agli articoli 4 e 14, comma 1, gli accertamenti sono effettuati per il
tramite di un membro designato dal Garante. Se il trattamento non risulta conforme alle disposizioni
di legge o di regolamento, il Garante indica al titolare o al responsabile le necessarie modificazioni
ed integrazioni e ne verifica l’attuazione. Se l’accertamento è stato richiesto dall’interessato, a quest’ultimo è fornito in ogni caso un riscontro circa il relativo esito, salvo che ricorrano i motivi di cui
all’articolo 10, comma 4, della legge 1° aprile 1981, n. 121, come sostituito dall’articolo 42, comma
1, della presente legge, o motivi di difesa o di sicurezza dello Stato.
7. Gli accertamenti di cui al comma 6 non sono delegabili. Qualora risulti necessario in ragione della specificità della verifica, il membro designato può farsi assistere da personale specializzato che è tenuto al segreto ai sensi dell’articolo 33, comma 6. Gli atti e i documenti acquisiti sono custoditi secondo
modalità tali da assicurarne la segretezza e sono conoscibili dal presidente e dai membri del Garante e, se
necessario per lo svolgimento delle funzioni dell’organo, da un numero delimitato di addetti al relativo ufficio individuati dal Garante sulla base di criteri definiti dal regolamento di cui all’articolo 33, comma 3.
Per gli accertamenti relativi agli organismi e ai dati di cui all’articolo 4, comma 1, lettera b), il membro designato prende visione degli atti e dei documenti rilevanti e riferisce oralmente nelle riunioni del Garante.
170
Normativa
Art. 33.
(Ufficio del Garante)
1. Alle dipendenze del Garante è posto un ufficio composto, in sede di prima applicazione
della presente legge, (27) da dipendenti dello Stato e di altre amministrazioni pubbliche, collocati
fuori ruolo nelle forme previste dai rispettivi ordinamenti, il cui servizio presso il medesimo ufficio è equiparato ad ogni effetto di legge a quello prestato nelle rispettive amministrazioni di provenienza. Il relativo contingente è determinato, in misura non superiore a quarantacinque unità,
su proposta del Garante medesimo, con decreto del Presidente del Consiglio dei ministri, di concerto con i Ministri del tesoro e per la funzione pubblica, entro novanta giorni dalla data di elezione del Garante. Il segretario generale può essere scelto anche tra magistrati ordinari o
amministrativi. (28) (29)
1-bis. (30) È istituito il ruolo organico del personale dipendente del Garante. Con proprio regolamento il Garante definisce: a) l’ordinamento delle carriere e le modalità del reclutamento secondo le procedure previste dall’articolo 36 del decreto legislativo 3 febbraio 1993, n. 29, e
successive modificazioni; b) le modalità dell’inquadramento in ruolo del personale in servizio alla data dell’entrata in vigore del regolamento; c) il trattamento giuridico ed economico del personale secondo i criteri previsti dalla legge 31 luglio 1997, n. 249, e, per gli incarichi di funzioni
dirigenziali, dall’articolo 19, comma 6, del citato decreto legislativo n. 29, come sostituito dall’articolo 13 del decreto legislativo 31 marzo 1998, n. 80, tenuto conto delle specifiche esigenze
funzionali e organizzative. Il regolamento è pubblicato nella Gazzetta ufficiale. Nelle more della
più generale razionalizzazione del trattamento economico delle autorità amministrative indipendenti, al personale è attribuito l’ottanta per cento del trattamento economico del personale dell’Autorità per le garanzie nelle comunicazioni. Per il periodo intercorrente tra l’8 maggio 1997 e
la data di entrata in vigore del regolamento, resta ferma l’indennità di cui all’articolo 41 del decreto del Presidente della Repubblica 10 luglio 1991, n. 231, corrisposta al personale in servizio.
Dal 1° gennaio 1998 e fino alla data di entrata in vigore del medesimo regolamento, è inoltre corrisposta la differenza tra il nuovo trattamento e la retribuzione già in godimento maggiorata della predetta indennità di funzione.
1-ter. (30) L’ufficio può avvalersi, per motivate esigenze, di dipendenti dello Stato o di altre amministrazioni pubbliche o di enti pubblici collocati in posizione di fuori ruolo nelle forme previste dai rispettivi ordinamenti, ovvero in aspettativa ai sensi dell’articolo 13 del decreto del Presidente della
Repubblica 11 luglio 1980, n. 382, e successive modificazioni, in numero non superiore, complessivamente, a venti unità e per non oltre il venti per cento delle qualifiche dirigenziali, lasciando non coperto un corrispondente numero di posti di ruolo. Al personale di cui al presente comma è corrisposta una
indennità pari alla eventuale differenza tra il trattamento erogato dall’amministrazione o dall’ente di
provenienza e quello spettante al corrispondente personale di ruolo, e comunque non inferiore alla indennità di cui all’articolo 41 del citato decreto del Presidente della Repubblica n. 231.
1-quater. (31) Con proprio regolamento il Garante ripartisce l’organico, fissato nel limite di cento
unità, tra il personale dei diversi livelli e quello delle qualifiche dirigenziali e disciplina l’organizzazione, il funzionamento dell’ufficio, la riscossione e la utilizzazione dei diritti di segreteria, ivi compresi quelli corrisposti dall’8 maggio 1997, e la gestione delle spese, anche in deroga alle norme sulla
contabilità generale dello Stato. Il regolamento è pubblicato nella Gazzetta ufficiale.
1-quinquies. (31) In aggiunta al personale di ruolo, l’ufficio può assumere direttamente dipendenti con contratto a tempo determinato disciplinato dalle norme di diritto privato, in numero non
(27) Parole inserite dall’art. 1, comma 1, d.lg. 26 febbraio 1999, n. 51.
(28) Parole aggiunte dall’art. 3, comma 2, d.lg. 9 maggio 1997, n. 123.
(29) L’art. 3, comma 3 del decreto legislativo 9 maggio 1997, n. 123, prevede che “Il personale richiesto dal Garante per la protezione dei
dati personali nella fase di costituzione del relativo ufficio, nelle more del perfezionamento del comando, del fuori ruolo o dell’aspettativa,
può essere utilizzato dal Garante a decorrere dalla data indicata nella richiesta, sempreché tale data sia di almeno dieci giorni successiva
a quella della richiesta, vi sia l’assenso dell’interessato e l’amministrazione o l’ente di appartenenza non si opponga.”
(30) Commi aggiunti dall’art. 1, comma 2, d.lg. 26 febbraio 1999, n. 51.
(31) Commi aggiunti dall’art. 2, comma 1, d.lg. 26 febbraio 1999, n. 51.
171
Normativa
superiore a venti unità, ivi compresi i consulenti assunti con contratto a tempo determinato ai sensi
del comma 4.
1-sexies. (31) All’ufficio del Garante, al fine di garantire la responsabilità e l’autonomia ai sensi
della legge 7 agosto 1990, n. 241, e successive modificazioni, e del decreto legislativo 3 febbraio 1993,
n. 29, e successive modificazioni, si applicano i principi riguardanti l’individuazione e le funzioni del
responsabile del procedimento, nonché quelli relativi alla distinzione fra le funzioni di indirizzo e di
controllo, attribuite agli organi di vertice, e quelli concernenti le funzioni di gestione attribuite ai dirigenti.
2. Le spese di funzionamento dell’ufficio del Garante sono poste a carico di un fondo stanziato
a tale scopo nel bilancio dello Stato e iscritto in apposito capitolo dello stato di previsione del Ministero del tesoro. Il rendiconto della gestione finanziaria è soggetto al controllo della Corte dei
conti.
3. (32) In sede di prima applicazione della presente legge, le norme concernenti l’organizzazione
ed il funzionamento dell’ufficio del Garante, nonché quelle dirette a disciplinare la riscossione dei
diritti di segreteria e la gestione delle spese, anche in deroga alle disposizioni sulla contabilità generale dello Stato, sono adottate con regolamento emanato con decreto del Presidente della Repubblica, entro tre mesi dalla data di entrata in vigore della presente legge, previa deliberazione del
Consiglio dei ministri, sentito il Consiglio di Stato, su proposta del Presidente del Consiglio dei ministri, di concerto con i Ministri del tesoro, di grazia e giustizia e dell’interno, e su parere conforme
del Garante stesso. Nel medesimo regolamento sono determinate le indennità di cui all’articolo 30,
comma 6, e altresì previste le norme concernenti il procedimento dinanzi al Garante di cui all’articolo 29, commi da 1 a 5, secondo modalità tali da assicurare, nella speditezza del procedimento medesimo, il pieno rispetto del contraddittorio tra le parti interessate, nonché le norme volte a precisare
le modalità per l’esercizio dei diritti di cui all’articolo 13, nonché della notificazione di cui all’articolo 7, per via telematica o mediante supporto magnetico o lettera raccomandata con avviso di ricevimento o altro idoneo sistema. Il parere del Consiglio di Stato sullo schema di regolamento è reso
entro trenta giorni dalla ricezione della richiesta; decorso tale termine il regolamento può comunque
essere emanato. (33)
3-bis. (34) Con effetto dalla data di entrata in vigore del regolamento di cui al comma 1-quater,
cessano di avere vigore le norme adottate ai sensi del comma 3, primo periodo.
4. (35) Nei casi in cui la natura tecnica o la delicatezza dei problemi lo richiedano, il Garante può
avvalersi dell’opera di consulenti, i quali sono remunerati in base alle vigenti tariffe professionali ovvero sono assunti con contratti a tempo determinato, di durata non superiore a due anni, che possono
essere rinnovati per non più di due volte.
5. Per l’espletamento dei propri compiti, l’ufficio del Garante può avvalersi di sistemi automatizzati ad elaborazione informatica e di strumenti telematici propri ovvero, salvaguardando le garanzie previste dalla presente legge, appartenenti all’Autorità per l’informatica nella pubblica
amministrazione o, in caso di indisponibilità, ad enti pubblici convenzionati.
6. Il personale addetto all’ufficio del Garante ed i consulenti sono tenuti al segreto su tutto ciò
di cui siano venuti a conoscenza, nell’esercizio delle proprie funzioni, in ordine a banche di dati e ad
operazioni di trattamento.
6-bis. (36) Il personale dell’ufficio del Garante addetto agli accertamenti di cui all’articolo 32 riveste, in numero non superiore a cinque unità, nei limiti del servizio cui è destinato e secondo le rispettive attribuzioni, la qualifica di ufficiale o agente di polizia giudiziaria.
(32) Comma così modificato dall’art. 2, comma 2, d.lg. 26 febbraio 1999, n. 51.
(323) L’art. 5, comma 3, del decreto legislativo 9 maggio 1997, n. 123, prevede che “Fino alla data di entrata in vigore del decreto di cui
all’articolo 33, comma 3, della legge 31 dicembre 1996, n. 675, per la gestione delle spese dell’ufficio del Garante per la protezione dei
dati personali si osservano, in quanto compatibili, le disposizioni contenute nel regolamento per la gestione delle spese occorrenti per il
funzionamento dell’Autorità per l’informatica nella pubblica amministrazione, approvate con decreto del Presidente del Consiglio dei Ministri 6 ottobre 1994, n. 769, pubblicato nella Gazzetta Ufficiale n. 78 del 2 aprile 1995.”
(34) Comma inserito dall’art. 2, comma 3, d.lg. 26 febbraio 1999, n. 51.
(35) Comma così modificato dall’art. 2, comma 4, d.lg. 26 febbraio 1999, n. 51.
(36) Comma aggiunto dall’art. 2, comma 5, d.lg. 26 febbraio 1999, n. 51.
172
Normativa
CAPO VIII
SANZIONI
Art. 34.
(Omessa o infedele notificazione)
1. Chiunque, essendovi tenuto, non provvede alle notificazioni prescritte dagli articoli 7 e 28,
ovvero indica in esse notizie incomplete o non rispondenti al vero, è punito con la reclusione da tre
mesi a due anni. Se il fatto concerne la notificazione prevista dall’articolo 16, comma 1, la pena è della reclusione sino ad anno.
Art. 35.
(Trattamento illecito di dati personali)
1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 11, 20 e 27, è punito con la reclusione sino a due anni o, se il fatto consiste nella
comunicazione o diffusione, con la reclusione da tre mesi a due anni.
2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, comunica o diffonde dati personali in violazione di quanto disposto dagli articoli 21, 22, 23 e 24, ovvero del divieto di cui all’articolo 28, comma 3, è punito con la
reclusione da tre mesi a due anni.
3.Se dai fatti di cui ai commi 1 e 2 deriva nocumento, la reclusione è da uno a tre anni.
Art. 36.
(Omessa adozione di misure necessarie alla sicurezza dei dati)
1. Chiunque, essendovi tenuto, omette di adottare le misure necessarie a garantire la sicurezza
dei dati personali, in violazione delle disposizioni dei regolamenti di cui ai commi 2 e 3 dell’articolo
15, è punito con la reclusione sino ad un anno. Se dal fatto deriva nocumento, la pena è della reclusione da due mesi a due anni.
2. Se il fatto di cui al comma 1 è commesso per colpa si applica la reclusione fino a un anno.
Art. 37.
(Inosservanza dei provvedimenti del Garante)
1. Chiunque, essendovi tenuto, non osserva il provvedimento adottato dal Garante ai sensi dell’articolo 22, comma 2, o dell’articolo 29, commi 4 e 5, è punito con la reclusione da tre mesi a due
anni.
Art. 38.
(Pena accessoria)
1. La condanna per uno dei delitti previsti dalla presente legge importa la pubblicazione della
sentenza.
173
Normativa
Art. 39.
(Sanzioni amministrative)
1. Chiunque omette di fornire le informazioni o di esibire i documenti richiesti dal Garante ai
sensi degli articoli 29, comma 4, e 32, comma 1, è punito con la sanzione amministrativa del pagamento di una somma da lire un milione a lire sei milioni.
2. La violazione delle disposizioni di cui agli articoli 10 e 23, comma 2, è punita con la sanzione amministrativa del pagamento di una somma da lire cinquecentomila a lire tre milioni.
3. (37) L’organo competente a ricevere il rapporto e ad irrogare le sanzioni di cui al presente articolo è il Garante. Si osservano, in quanto applicabili, le disposizioni della legge 24 novembre 1981,
n. 689, e successive modificazioni. I proventi, nella misura del cinquanta per cento del totale annuo,
sono riassegnati al fondo di cui all’articolo 33, comma 2, e sono utilizzati unicamente per l’esercizio dei
compiti di cui agli articoli 31, comma 1, lettera i) e 32.
CAPO IX
DISPOSIZIONI TRANSITORIE E FINALI ED ABROGAZIONI
Art. 40.
(Comunicazioni al Garante)
1. Copia dei provvedimenti emessi dall’autorità giudiziaria in relazione a quanto previsto dalla
presente legge e dalla legge 23 dicembre 1993, n. 547, è trasmessa, a cura della cancelleria, al Garante.
Art. 41.
(Disposizioni transitorie)
1. Fermo restando l’esercizio dei diritti di cui agli articoli 13 e 29, le disposizioni della presente legge che prescrivono il consenso dell’interessato non si applicano in riferimento ai dati personali
raccolti precedentemente alla data di entrata in vigore della legge stessa, o il cui trattamento sia iniziato prima di tale data. Resta salva l’applicazione delle disposizioni relative alla comunicazione e alla diffusione dei dati previste dalla presente legge.
2. (38) Per i trattamenti di dati personali iniziati prima del 1 gennaio 1998, le notificazioni prescritte dagli articoli 7 e 28 sono effettuate dal 1 gennaio 1998 al 31 marzo 1998 ovvero, per i trattamenti di cui all’articolo 5 riguardanti dati diversi da quelli di cui agli articoli 22 e 24, nonché per
quelli di cui all’articolo 4, comma 1, lettere c), d) ed e), dal 1 aprile 1998 al 30 giugno 1998.
3. Le misure minime di sicurezza di cui all’articolo 15, comma 2, devono essere adottate entro
il termine di sei mesi dalla data di entrata in vigore del regolamento ivi previsto. Fino al decorso di
tale termine, i dati personali devono essere custoditi in maniera tale da evitare un incremento dei rischi di cui all’articolo 15, comma 1.
4. Le misure di cui all’articolo 15, comma 3, devono essere adottate entro il termine di sei mesi dalla data di entrata in vigore dei regolamenti ivi previsti.
5. (39) Nei ventiquattro mesi successivi alla data di entrata in vigore della presente legge, i trattamenti dei dati di cui all’articolo 22, comma 3, ad opera di soggetti pubblici, esclusi gli enti pubbli-
(37) Comma così modificato dall’art. 14, d.lg. 30 luglio 1999, n. 281.
(38) Comma così sostituito dall’art. 2, d.lg. 28 luglio 1997, n. 255.
(39) Comma da ultimo così modificato dall’art. 1, comma 1, d.lg. 6 novembre 1998, n. 389.
174
Normativa
ci economici, e all’articolo 24, possono essere proseguiti anche in assenza delle disposizioni di legge
ivi indicate, previa comunicazione al Garante.
6. In sede di prima applicazione della presente legge, fino alla elezione del Garante ai sensi dell’articolo 30, le funzioni del Garante sono svolte dal presidente dell’Autorità per l’informatica nella
pubblica amministrazione, fatta eccezione per l’esame dei ricorsi di cui all’articolo 29.
7. (40) Le disposizioni della presente legge che prevedono un’autorizzazione del Garante si applicano limitatamente alla medesima autorizzazione e fatta eccezione per la disposizione di cui all’articolo
28, comma 4, lettera g), a decorrere dal 30 novembre 1997. Le medesime disposizioni possono essere
applicate dal Garante anche mediante il rilascio di autorizzazioni relative a determinate categorie di
titolari o di trattamenti.
7-bis. (41) In sede di prima applicazione della presente legge, le informative e le comunicazioni di
cui agli articoli 10, comma 3, e 27, comma 2, possono essere date entro il 30 novembre 1997.
Art. 42.
(Modifiche a disposizioni vigenti)
1. L’articolo 10 della legge 1° aprile 1981, n. 121, è sostituito dal seguente:
“Art. 10. - (Controlli). - 142. Il controllo sul Centro elaborazione dati è esercitato dal Garante
per la protezione dei dati personali, nei modi previsti dalla legge e dai regolamenti.
2. (42) I dati e le informazioni conservati negli archivi del Centro possono essere utilizzati in procedimenti giudiziari o amministrativi soltanto attraverso l’acquisizione delle fonti originarie indicate
nel primo comma dell’articolo 7, fermo restando quanto stabilito dall’articolo 240 del codice di procedura penale. Quando nel corso di un procedimento giurisdizionale o amministrativo viene rilevata
l’erroneità o l’incompletezza dei dati e delle informazioni, o l’illegittimità del loro trattamento, l’autorità procedente ne dà notizia al Garante per la protezione dei dati personali.
3. La persona alla quale si riferiscono i dati può chiedere all’ufficio di cui alla lettera a) del primo comma dell’articolo 5 la conferma dell’esistenza di dati personali che lo riguardano, la loro comunicazione in forma intelligibile e, se i dati risultano trattati in violazione di vigenti disposizioni di
legge o di regolamento, la loro cancellazione o trasformazione in forma anonima.
4. (42) Esperiti i necessari accertamenti, l’ufficio comunica al richiedente, non oltre venti giorni dalla richiesta, le determinazioni adottate. L’ufficio può omettere di provvedere sulla richiesta se
ciò può pregiudicare azioni od operazioni a tutela dell’ordine e della sicurezza pubblica o di prevenzione e repressione della criminalità, dandone informazione al Garante per la protezione dei dati personali.
5. Chiunque viene a conoscenza dell’esistenza di dati personali che lo riguardano, trattati anche in forma non automatizzata in violazione di disposizioni di legge o di regolamento, può chiedere
al tribunale del luogo ove risiede il titolare del trattamento di compiere gli accertamenti necessari e
di ordinare la rettifica, l’integrazione, la cancellazione o la trasformazione in forma anonima dei dati
medesimi. Il tribunale provvede nei modi di cui agli articoli 737 e seguenti del codice di procedura
civile.”.
2. Il comma 1 dell’articolo 4 del decreto legislativo 12 febbraio 1993, n. 39, è sostituito dal seguente: “1. È istituita l’Autorità per l’informatica nella pubblica amministrazione, denominata Autorità ai fini del presente decreto; tale Autorità opera in piena autonomia e con indipendenza di giudizio
e di valutazione.”.
3. Il comma 1 dell’articolo 5 del decreto legislativo 12 febbraio 1993, n. 39, è sostituito dal
seguente: “1. Le norme concernenti l’organizzazione ed il funzionamento dell’Autorità, l’istituzione del ruolo del personale, il relativo trattamento giuridico ed economico e l’ordinamento delle carriere, nonché la gestione delle spese nei limiti previsti dal presente decreto, anche in deroga
(40) Comma così sostituito dall’art. 4, comma 1, d.lg. 9 maggio 1997, n. 123.
(41) Comma aggiunto dall’art. 4, comma 2, d.lg. 9 maggio 1997, n. 123.
(42) Commi così modificati dall’art. 5, comma 1, d.lg. 9 maggio 1997, n. 123.
175
Normativa
alle disposizioni sulla contabilità generale dello Stato, sono adottate con regolamento emanato con
decreto del Presidente della Repubblica, previa deliberazione del Consiglio dei ministri, sentito
il Consiglio di Stato, su proposta del Presidente del Consiglio dei ministri, di concerto con il Ministro del tesoro e su parere conforme dell’Autorità medesima. Il parere del Consiglio di Stato sullo schema di regolamento è reso entro trenta giorni dalla ricezione della richiesta, decorsi i quali
il regolamento può comunque essere emanato. Si applica il trattamento economico previsto per il
personale del Garante per l’editoria e la radiodiffusione ovvero dell’organismo che dovesse subentrare nelle relative funzioni, fermo restando il limite massimo complessivo di centocinquanta
unità. Restano altresì fermi gli stanziamenti dei capitoli di cui al comma 2, così come determinati per il 1995 e tenendo conto dei limiti di incremento previsti per la categoria IV per il triennio
1996-1998.”.
4. (42) Negli articoli 9, comma 2 e 10, comma 2, della legge 30 settembre 1993, n. 388, le parole: “Garante per la protezione dei dati” sono sostituite dalle seguenti: “Garante per la protezione dei
dati personali”.
Art. 43.
(Abrogazioni)
1. Sono abrogate le disposizioni di legge o di regolamento incompatibili con la presente legge e,
in particolare, il quarto comma dell’articolo 8 ed il quarto comma dell’articolo 9 della legge 1° aprile 1981, n. 121. Entro sei mesi dalla data di emanazione del decreto di cui all’articolo 33, comma 1,
della presente legge, il Ministro dell’interno trasferisce all’ufficio del Garante il materiale informativo raccolto a tale data in attuazione del citato articolo 8 della legge n. 121 del 1981.
2. Restano ferme le disposizioni della legge 20 maggio 1970, n. 300, e successive modificazioni, nonché, in quanto compatibili, le disposizioni della legge 5 giugno 1990, n. 135, e successive modificazioni, del decreto legislativo 6 settembre 1989, n. 322, nonché le vigenti norme in materia di
accesso ai documenti amministrativi ed agli archivi di Stato. Restano altresì ferme le disposizioni di
legge che stabiliscono divieti o limiti più restrittivi in materia di trattamento di taluni dati personali.
3. Per i trattamenti di cui all’articolo 4, comma 1, lettera e), della presente legge, resta fermo
l’obbligo di conferimento di dati ed informazioni di cui all’articolo 6, primo comma, lettera a), della
legge 1° aprile 1981, n. 121.
CAPO X
COPERTURA FINANZIARIA ED ENTRATA IN VIGORE
Art. 44.
(Copertura finanziaria)
1. All’onere derivante dall’attuazione della presente legge, valutato in lire 8.029 milioni per il
1997 ed in lire 12.045 milioni a decorrere dal 1998, si provvede mediante corrispondente riduzione
dello stanziamento iscritto, ai fini del bilancio triennale 1997-1999, al capitolo 6856 dello stato di
previsione del Ministero del tesoro per l’anno 1997, all’uopo utilizzando per il 1997, quanto a lire
4.553 milioni, l’accantonamento riguardante il Ministero degli affari esteri e, quanto a lire 3.476 milioni, l’accantonamento riguardante la Presidenza del Consiglio dei ministri e, per gli anni 1998 e
1999, quanto a lire 6.830 milioni, le proiezioni per gli stessi anni dell’accantonamento riguardante il
Ministero degli affari esteri e, quanto a lire 5.215 milioni, le proiezioni per gli stessi anni dell’accantonamento riguardante la Presidenza del Consiglio dei ministri.
2.Il Ministro del tesoro è autorizzato ad apportare, con propri decreti, le occorrenti variazioni di
bilancio.
176
Normativa
Art. 45.
(Entrata in vigore)
1. La presente legge entra in vigore centoventi giorni dopo la sua pubblicazione nella Gazzetta
Ufficiale. Per i trattamenti svolti senza l’ausilio di mezzi elettronici o comunque automatizzati che non
riguardano taluno dei dati di cui agli articoli 22 e 24, le disposizioni della presente legge si applicano a decorrere dal 1° gennaio 1998. Fermo restando quanto previsto dall’articolo 9, comma 2, della
legge 30 settembre 1993, n. 388, la presente legge entra in vigore il giorno successivo a quello della
sua pubblicazione nella Gazzetta Ufficiale, limitatamente ai trattamenti di dati effettuati in esecuzione dell’accordo di cui all’articolo 4, comma 1, lettera a) e alla nomina del Garante.
177
Normativa
DECRETO LEGISLATIVO 11 MAGGIO 1999, N. 135 (con aggiornamenti)
Disposizioni integrative della legge 31 dicembre 1996, n. 675, sul trattamento di
dati sensibili da parte dei soggetti pubblici
IL PRESIDENTE DELLA REPUBBLICA
Visti gli articoli 76 e 87 della Costituzione;
Visto l'articolo 14 della legge 23 agosto 1988, n. 400;
Vista la legge 31 dicembre 1996, n. 675, e successive modifiche ed integrazioni;
Vista la legge 31 dicembre 1996, n. 676, recante delega al Governo in materia di tutela delle
persone e di altri soggetti rispetto al trattamento dei dati personali e le raccomandazioni del Consiglio d'Europa ivi citate;
Vista la legge 6 ottobre 1998, n. 344;
Visto il decreto legislativo 6 novembre 1998, n. 389;
Sentito il Garante per la protezione dei dati personali;
Sentita l'Autorità per l'informatica nella pubblica amministrazione;
Vista la preliminare deliberazione del Consiglio dei Ministri, adottata nella riunione del 21 aprile 1999;
Acquisito il parere delle competenti Commissioni della Camera dei deputati e del Senato della
Repubblica;
Vista la deliberazione del Consiglio dei Ministri, adottata nella riunione del 7 maggio 1999;
Sulla proposta del Presidente del Consiglio dei Ministri, di concerto con i Ministri per la funzione pubblica, per la solidarietà sociale, di grazia e giustizia, dell'interno, degli affari esteri, delle finanze, del tesoro, del bilancio e della programmazione economica, per i beni e le attività culturali,
della sanità, della pubblica istruzione e dell'università e della ricerca scientifica e tecnologica;
EMANA
il seguente decreto legislativo:
Capo I
PRINCIPI GENERALI IN MATERIA DI TRATTAMENTO
DI DATI PARTICOLARI DA PARTE DI SOGGETTI PUBBLICI
Art. 1.
Ambito di applicazione e definizioni
1. Il presente decreto:
a) definisce i principi generali in base ai quali i soggetti pubblici sono autorizzati a trattare
dati sensibili o attinenti a particolari provvedimenti giudiziari ai sensi degli articoli 22, comma 3, e
24 della legge 31 dicembre 1996, n. 675, nel rispetto delle altre disposizioni previste dalla medesima legge;
b) individua, inoltre, alcune rilevanti finalità di interesse pubblico, per il cui perseguimento è
consentito detto trattamento, nonché le operazioni eseguibili e i tipi di dati che possono essere trattati.
2. Il presente decreto non si applica:
a) ai trattamenti di cui all'articolo 4 della legge 31 dicembre 1996, n. 675, e all'articolo 1,
comma 1, lettera i), della legge 31 dicembre 1996, n. 676;
178
Normativa
b) agli enti pubblici economici, ai quali restano applicabili le disposizioni previste per i soggetti privati, ai sensi della legge 31 dicembre 1996, n. 675;
c) ai trattamenti disciplinati dalla Presidenza della Repubblica, dalla Camera dei deputati, dal
Senato della Repubblica e dalla Corte costituzionale, in conformità ai rispettivi ordinamenti.
3. Ai fini del presente decreto:
a) si applicano le definizioni elencate nell'arti-colo 1 della legge 31 dicembre 1996, n. 675,
di seguito denominata «leggey;
b) per «datiy si intendono i dati sensibili o attinenti a provvedimenti giudiziari indicati negli
articoli 22, comma 1, e 24 della legge.
4. Salvo quanto previsto dal comma 2, i principi di cui al presente Capo si applicano in ogni caso di trattamento dei dati comunque effettuato da soggetti pubblici.
5. Resta fermo quanto previsto dall'articolo 1, let-tera b), n. 1), della legge 31 dicembre 1996,
n. 676, e dall'articolo 1, comma 2, della legge 8 aprile 1998, n. 94, per la compiuta disciplina della
riservatezza dei dati personali in ambito sanitario.
Art. 2.
Modalità del trattamento e informativa agli interessati
1. I soggetti pubblici effettuano il trattamento dei dati con modalità atte ad assicurare il rispetto dei diritti, delle libertà fondamentali e della dignità dell'interessato; adottano, inoltre, le misure occorrenti per facilitare l'esercizio dei diritti dell'interessato ai sensi dell'articolo 13 della legge.
2. Nell'informare gli interessati ai sensi dell'arti-colo 10 della legge, i soggetti pubblici fanno
espresso riferimento alla normativa che prevede gli obblighi o i compiti in base alla quale è effettuato il trattamento.
Art. 3.
Dati trattati
1. I soggetti pubblici sono autorizzati a trattare i soli dati essenziali per svolgere attività istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di
dati personali di natura diversa.
2. I dati sono raccolti, di regola, presso l'interessato.
3. Ai sensi dell'articolo 9, comma 1, lettera c), d) ed e), della legge, i soggetti pubblici verificano periodicamente l'esattezza e l'aggiornamento dei dati, nonché la loro pertinenza, completezza, non
eccedenza e necessità rispetto alle finalità perseguite nei singoli casi, anche con riferimento ai dati
che l'interessato fornisce di propria iniziativa. Al fine di assicurare che i dati siano strettamente pertinenti e non eccedenti rispetto agli obblighi e ai compiti loro attribuiti, i soggetti pubblici valutano
specificamente il rapporto tra i dati e gli adempimenti. I dati che, anche a seguito delle verifiche, risultano eccedenti o non pertinenti o non necessari non possono essere utilizzati, salvo che per l'eventuale conservazione, a norma di legge, dell'atto o del documento che li contiene. Specifica
attenzione è prestata per la verifica dell'essenzialità dei dati riferiti a soggetti diversi da quelli cui si
riferiscono direttamente le prestazioni o gli adempimenti.
4. I dati contenuti in elenchi, registri o banche di dati, tenuti con l'ausilio di mezzi elettronici o
comunque automatizzati, sono trattati con tecniche di cifratura o mediante l'utilizzazione di codici
identificativi o di altri sistemi che, considerato il numero e la natura dei dati trattati, permettono di
identificare gli interessati solo in caso di necessità.
5. I dati idonei a rivelare lo stato di salute e la vita sessuale sono conservati separatamente da
ogni altro dato persone trattato per finalità che non richiedano il loro utilizzo. Al trattamento di tali dati si procede con le modalità di cui al comma 4 anche quando detti dati non sono contenuti in elenchi,
registri o banche dati o non sono tenuti con l'ausilio di mezzi elettronici o comunque automatizzati.
6. I dati non possono essere trattati nell'ambito di test psico-attitudinali volti a definire il profilo o la personalità dell'interessato.
179
Normativa
Art. 4.
Operazioni eseguibili
1. Rispetto ai dati la cui disponibilità è essenziale ai sensi dell'articolo 3, comma 1, i soggetti
pubblici sono autorizzati a svolgere unicamente le operazioni di trattamento strettamente necessarie
al perseguimento delle finalità per le quali il trattamento è consentito, anche quando i dati sono raccolti nello svolgimento di compiti di vigilanza, di controllo o ispettivi esercitati anche su richiesta di
altri soggetti.
2. Le operazioni di raffronto tra dati, nonché i trattamenti di dati ai sensi dell'articolo 17 della
legge, sono effettuati solo con l'indicazione scritta dei motivi.
3. In ogni caso, la diffusione dei dati, nonché le operazioni e i trattamenti di cui al comma 2, se
effettuati utilizzando banche dati di diversi titolari, sono ammessi solo se previsti da espressa disposizione di legge.
4. Resta fermo il divieto di diffusione dei dati idonei a rivelare lo stato di salute sancito dall'articolo 23, comma 4, della legge.
Art. 5.
Modificazioni alla legge 31 dicembre 1996, n. 675
1. Dopo il comma 1 dell'articolo 22 della legge è inserito il seguente:
«1-bis. Il comma 1 non si applica ai dati relativi agli aderenti alle confessioni religiose i cui
i rapporti con lo Stato siano regolati da accordi o intese ai sensi degli articoli 7 e 8 della Costituzione, nonché relativi ai soggetti che con riferimento a finalità di natura esclusivamente religiosa
hanno contatti regolari con le medesine confessioni, che siano trattati dai relativi organi o enti civilmente riconosciuti, sempreché i dati non siano comunicati o diffusi fuori delle medesime confessioni.
Queste ultime determinano idonee garanzie relativamente ai trattamenti effettuati.».
2. Il comma 3 dell'articolo 22 della legge è sostituito dal seguente:
«3. Il trattamento dei dati indicati al comma 1 da parte di soggetti pubblici, esclusi gli enti pubblici economici, è consentito solo se autorizzato da espressa disposizione di legge, nella quale siano
specificati i tipi di dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite. In mancanza di espressa disposizione di legge, e fuori dai casi previsti
dai decreti legislativi di modificazione ed integrazione della presente legge, emanati in attuazione della legge 31 dicembre 1996, n. 676, i soggetti pubblici possono richiedere al Garante, nelle more della specificazione legislativa, l'individuazione delle attività, tra quelle demandate ai medesimi soggetti
dalla legge, che perseguono rilevanti finalità di interesse pubblico e per le quali è conseguentemente autorizzato, ai sensi del comma 2, il trattamento dei dati indicati al comma 1.».
3. Dopo il comma 3 dell'articolo 22 della legge è inserito il seguente:
«3-bis. Nei casi in cui è specificata, a norma del comma 3, la finalità di rilevante interesse pubblico, ma non sono specificati i tipi di dati e le operazioni eseguibili, i soggetti pubblici, in applicazione di quanto previsto dalla presente legge e dai decreti legislativi di attuazione della legge 31
dicembre 1996, n. 676, in materia di dati sensibili, identificano e rendono pubblici, secondo i rispettivi ordinamenti, i tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle
finalità perseguite nei singoli casi, aggiornando tale identificazione periodicamente.y.
4. I soggetti pubblici avviano l'adeguamento dei propri ordinamenti a quanto previsto dai commi 3 e 3„-„bis dell'articolo 22 della legge, introdotto dal comma 3 del presente articolo entro il 31 dicembre 1999. Per le richieste presentate al Garante, a norma del comma 3 dell'articolo 22 della legge,
come modificato dal presente decreto, entro il 31 dicembre 1999, il termine per la decisione del Garante medesimo è di novanta giorni, durante i quali il trattamento dei dati già in corso può essere proseguito sino alla decisione.
5. I provvedimenti di cui all'articolo 22, comma 3„-„bis, della legge, introdotto dal comma 3 del
presente articolo, costituiscono attuazione dei principi di cui agli articoli da 1 a 4 del presente decreto.
180
Normativa
«5bis. In relazione alle finalità individuate nel Capo II, i soggetti pubblici identificano e rendono pubblici con le modalità di cui ai commi 4 e 5 e nel rispetto delle disposizioni di cui al Capo I del
presente decreto, anche i tipi di dati e di operazioni oggetto del trattamento di cui all’articolo 24 della legge».
Capo II
INDIVIDUAZIONE DI ALCUNE RILEVANTI FINALITÀ
DI INTERESSE PUBBLICO
Art. 6.
Stato civile, anagrafi e liste elettorali
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati concernenti la tenuta degli atti e dei registri dello stato civile, delle anagrafi della popolazione residente
in Italia e dei cittadini italiani residenti all'estero, nonché delle liste elettorali.
Art. 7.
Cittadinanza, immigrazione e condizione dello straniero
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico le attività dirette all'applicazione della disciplina in materia di cittadinanza, di immigrazione, di asilo, di condizione dello straniero e di profugo e sullo stato di rifugiato.
2. Le disposizioni del presente Capo non riguardano i trattamenti di dati effettuati in esecuzione della convenzione di cui alla legge 23 marzo 1998, n. 93, o dell'accordo di cui all'articolo 4, comma 1, lettera a), della legge, ovvero previsti dalla lettera e) del medesimo articolo.
3. Per le finalità di cui al comma 1 è, in particolare, ammesso il trattamento dei dati strettamente
necessari:
a) al rilascio di visti, permessi, attestazioni, autorizzazioni e documenti anche sanitari, nonché alla tenuta di registri;
b) al riconoscimento del diritto di asilo o dello stato di rifugiato, o all'applicazione della protezione temporanea e di altri istituti o misure di carattere umanitario, ovvero all'attuazione degli obblighi di legge in materia di politiche migratorie;
c) agli obblighi dei datori di lavoro e dei lavoratori, ai ricongiungimenti, all'applicazione delle norme vigenti in materia di istruzione e di alloggio, alla partecipazione alla vita pubblica e all'integrazione sociale.
Art. 8.
Esercizio dei diritti politici e pubblicità dell'attività
di determinati organi
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico le attività dirette all'applicazione della disciplina in materia di elettorato attivo e passivo e di esercizio di altri diritti politici, nel rispetto della segretezza del voto, nonché all'esercizio del mandato degli organi
rappresentativi.
2. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico le attività dirette all'applicazione della disciplina in materia di documentazione dell'attività istituzionale di organi pubblici.
3. I trattamenti dei dati per le finalità di cui ai commi 1 e 2 sono consentiti per eseguire specifici compiti previsti da leggi o da regolamenti fra i quali, in particolare, quelli concernenti:
181
Normativa
a) lo svolgimento di consultazioni elettorali e la verifica della relativa regolarità;
b) le richieste di referendum, le relative consultazioni e la verifica della relativa regolarità;
c) l'accertamento delle cause di ineleggibilità, incompatibilità o di decadenza, o di rimozione
o sospensione da cariche pubbliche, ovvero di sospensione o di scioglimento degli organi;
d) l'esame di segnalazioni, petizioni, appelli e di proposte di legge di iniziativa popolare, l'attività di commissioni d'inchiesta, il rapporto con gruppi politici;
e) la designazione e la nomina di rappresentanti in commissioni, enti e uffici.
4. Ai fini del presente articolo, è consentita la diffusione dei dati per le finalità di cui al comma
1, in particolare con riguardo alle sottoscrizioni di liste, alle presentazioni delle candidature, agli incarichi in organizzazioni o associazioni politiche, alle cariche istituzio-nali e agli organi eletti.
5. Ai fini del presente articolo, in particolare, sono consentiti:
a) il trattamento di dati contenuti in verbali e resoconti dell'attività di assemblee rappresentative, commissioni e di altri organi collegiali o assembleari;
b) il trattamento dei dati strettamente necessario allo svolgimento della funzione di controllo,
di indirizzo politico e di sindacato ispettivo e di altre forme di accesso a documenti riconosciute dalla
legge e dai regolamenti degli organi interessati per consentire l'espletamento di un mandato elettivo.
6. I dati trattati per le finalità di cui ai commi 1 e 2 possono essere comunicati e diffusi nelle
forme previste dai rispettivi ordinamenti anche per via telematica. Non è comunque consentita la divulgazione dei dati che non risultino strettamente necessari ad assicurare il rispetto del principio di
pubblicità dell'attività istituzionale, fermo restando quanto previsto dall'articolo 23, comma 4, della
legge per i dati idonei a rivelare lo stato di salute.
Art. 9.
Rapporti di lavoro
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico le attività dirette all'instaurazione ed alla gestione di rapporti di lavoro di qualunque tipo, dipendente o autonomo, anche non retribuito o onorario o a tempo parziale o temporaneo, e di altre forme di impiego che non
comportano la costituzione di un rapporto di lavoro subordinato.
2. Tra i trattamenti effettuati per le finalità di cui al comma 1, si intendono ricompresi, in particolare, quelli svolti al fine di:
a) applicare la normativa in materia di collocamento obbligatorio e assumere personale anche
appartenente a categorie protette;
b) garantire le pari opportunità;
c) accertare il possesso di particolari requisiti previsti per l'accesso a specifici impieghi, anche in materia di tutela delle minoranze linguistiche, ovvero la sussistenza dei presupposti per la sospensione o la cessazione dall'impiego o dal servizio, il trasferimento di sede per incompatibilità e il
conferimento di speciali abilitazioni;
d) adempiere obblighi connessi alla definizione dello stato giuridico ed economico, ivi compreso il riconoscimento della causa di servizio o dell'equo indennizzo, nonché obblighi retributivi, fiscali o contabili, relativamente al personale in servizio o in quiescenza, ivi compresa la
corresponsione di premi e benefici assistenziali;
e) adempiere specifici obblighi o compiti previsti dalla normativa in materia di igiene e sicurezza del lavoro o di sicurezza o salute della popolazione, nonché in materia sindacale;
f) applicare, anche da parte di enti previdenziali ed assistenziali, la normativa in materia di
previdenza ed assistenza ivi compresa quella integrativa, anche in applicazione del decreto legislativo del Capo provvisorio dello Stato 29 luglio 1947, n. 804, riguardo alla comunicazione di dati, anche per via telematica, agli istituti di patronato ed assistenza sociale, alle associazioni di categoria e
agli ordini professionali che abbiano ottenuto il consenso dell'interessato in relazione a tipi di dati individuati specificamente;
g) svolgere attività dirette all'accertamento della responsabilità civile, disciplinare e contabile ed esaminare i ricorsi amministrativi in conformità alle norme che regolano le rispettive
materie;
182
Normativa
h) comparire in giudizio a mezzo di propri rappresentanti o partecipare alle procedure di arbitrato o di conciliazione nei casi previsti dalla legge o dai contratti collettivi di lavoro;
i) salvaguardare la vita o l'incolumità fisica dell'interessato o di terzi;
j) gestire l'anagrafe dei pubblici dipendenti e applicare la normativa in materia di assunzione
di incarichi da parte di dipendenti pubblici, collaboratori e consulenti;
k) applicare la normativa in materia di incompatibilità e rapporti di lavoro a tempo parziale;
l) svolgere l'attività di indagine e ispezione presso soggetti pubblici;
m) valutare la qualità dei servizi resi e dei risultati conseguiti.
3. I dati raccolti mediante impianti audiovisivi o altre apparecchiature, anche informatiche o telematiche, richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, possono essere utilizzati unicamente per tali finalità, individuate secondo le procedure di cui all'articolo 4 della
legge 20 maggio 1970, n. 300, e all'articolo 24 della legge 29 marzo 1983, n. 93. Gli interessati sono
edotti delle modalità di tale trattamento, anche attraverso l'informativa di cui all'articolo 10 della legge.
4. La diffusione dei dati di cui alle lettere da k) a m) del comma 2 è consentita in forma anonima e, comunque, tale da non consentire l'individuazione dell'interessato.
Art. 10.
Materia tributaria e doganale
1. Ai sensi dell'articolo 1 si considerano di rilevante interesse pubblico le attività dei soggetti
pubblici dirette all'applicazione, anche tramite i loro concessionari, delle disposizioni in materia di
tributi, in relazione ai contribuenti, ai sostituti e ai responsabili di imposta, nonché in materia di deduzioni e detrazioni e per l'applicazione delle disposizioni la cui esecuzione è affidata alle dogane.
2. Ai sensi dell'articolo 1 del presente decreto, si considerano, inoltre, di rilevante interesse
pubblico le attività dirette, in materia di imposte, alla prevenzione e repressione delle violazioni degli obblighi ed all'adozione dei provvedimenti previsti da leggi, regolamenti o normativa comunitaria,
nonché al controllo ed all'esecuzione forzata dell'esatto adempimento di tali obblighi, all'effettuazione dei rimborsi, alla destinazione di quote d'imposta, e quelle dirette alla gestione ed alienazione di
immobili statali, all'inventario e alla qualificazione degli immobili e alla conservazione dei registri
immobiliari.
Art. 11.
Attività di controllo e ispettive
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico le finalità di verifica
della legittimità, del buon andamento, dell'imparzialità dell'attività amministrativa, nonché della rispondenza di detta attività a requisiti di razionalità, economicità, efficienza ed efficacia per le quali
sono, comunque, attribuite dalla legge a soggetti pubblici funzioni di controllo, di riscontro ed ispettive nei confronti di altri soggetti.
2. Nell'esercizio di tali funzioni, i soggetti di cui al comma 1 possono effettuare trattamenti dei
dati legittimamente trattati presso i soggetti controllati.
3. Ai sensi dell'articolo 1 si considerano altresì di rilevante interesse pubblico le attività di accertamento, nei limiti delle proprie finalità istituzionali, con riferimento a dati relativi ad esposti e petizioni, ovvero ad atti di controllo o di sindacato ispettivo di cui all'articolo 8, comma 5.
Art. 12.
Istruzione
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico le attività di istruzione
e di formazione, in ambito scolastico, professionale, superiore o universitario, con particolare riferimento a quelle svolte anche in forma integrata.
183
Normativa
Art. 13.
Benefici economici e abilitazioni
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico le attività dirette all'applicazione della disciplina in materia di concessione, liquidazione, modifica e revoca di benefici
economici, agevolazioni, elargizioni, altri emolumenti e abilitazioni.
2. Si intendono ricompresi fra i trattamenti regolati dal presente articolo anche quelli necessari relativi a:
a) alle comunicazioni, certificazioni ed informazioni previste dalla normativa antimafia;
b) all'elargizioni di contributi previsti dalla normativa in materia di usura e antiracket;
c) alla corresponsione delle pensioni di guerra o al riconoscimento di benefici in favore di perseguitati politici e di internati in campo di sterminio e di loro congiunti;
d) al riconoscimento di benefici connessi all'invalidità civile;
e) alla concessione di contributi in materia di formazione professionale;
f) alla concessione di contributi, finanziamenti, elargizioni ed altri benefici previsti dalla legge, dai regolamenti o dalla normativa comunitaria, anche in favore di associazioni, fondazioni ed enti;
g) al riconoscimento di esoneri, agevolazioni o riduzioni tariffarie o economiche, franchigie, o
al rilascio di concessioni anche radiotelevisive, licenze, autorizzazioni, iscrizioni ed altri titoli abilitativi previsti dalla legge, da regolamento o dalla normativa comunitaria.
4. Il trattamento può comprendere la diffusione nei soli casi in cui ciò sia indispensabile per la
trasparenza delle attività indicate nel presente articolo, in conformità alle leggi, e per finalità di vigilanza e di controllo conseguente alle attività medesime.
Art. 14.
Onorificenze, ricompense e riconoscimenti
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico le attività dirette all'applicazione della disciplina in materia di conferimento di onorificenze e ricompense, di riconoscimento della personalità giuridica di associazioni, fondazioni ed enti, anche di culto, di accertamento dei requisiti
di onorabilità e di professionalità per le nomine, per quanto di propria competenza, ad uffici anche di culto e a cariche direttive di persone giuridiche, imprese e di istituzioni scolastiche non statali, nonché di rilascio e revoca di titoli autorizzatori o abilitativi, di concessione di patrocini, patronati e premi di
rappresentanza, di adesione a comitati d'onere e di ammissione a cerimonie ed incontri istituzionali.
Art. 15.
Volontariato e obiezione di coscienza
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati
volti all'applicazione della disciplina in materia di rapporti tra i soggetti pubblici e le organizzazioni di volontariato, in particolare per quanto riguarda l'elargizione di contributi finalizzati al loro sostegno, la tenuta dei registri generali delle medesime organizzazioni e la cooperazione
internazionale.
2. Si considerano parimenti di rilevante interesse pubblico le attività dirette all'applicazione della legge 8 luglio 1998, n. 230, e delle altre disposizioni di legge in materia di obiezione di coscienza.
Art. 16.
Attività sanzionatorie e di predisposizione di elementi
di tutela in sede amministrativa o giurisdizionale
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati:
a) volti all'applicazione delle norme in materia di sanzioni amministrative e ricorsi;
184
Normativa
b) necessari per far valere il diritto di difesa in sede amministrativa o giudiziaria, anche da
parte di un terzo, o per ciò che attiene alla riparazione di un errore giudiziario o di un'ingiusta restrizione della libertà personale;
c) effettuati in conformità alle leggi e ai regolamenti per l'applicazione della disciplina sull'accesso ai documenti amministrativi.
2. Quando il trattamento concerne dati idonei a rivelare lo stato di salute o la vita sessuale, il
trattamento è consentito se il diritto da far valere o difendere, di cui alla lettera b) del comma 1, è di
rango almeno pari a quello dell'interessato.
Art. 17.
Tutela della salute
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico le seguenti attività rientranti nei compiti del servizio sanitario nazionale e degli altri organismi sanitari pubblici, nel rispetto dell'articolo 23, comma 1, della legge:
a) la prevenzione, la diagnosi, la cura e la riabilitazione dei soggetti assistiti dal servizio sanitario nazionale, ivi compresa l'assistenza degli stranieri in Italia e dei cittadini italiani all'estero,
nonché l'assistenza sanitaria erogata al personale navigante ed aeroportuale;
b) la programmazione, la gestione, il controllo e la valutazione dell'assistenza sanitaria;
c) la vigilanza sulle sperimentazioni, la farmacovigilanza, l'autorizzazione all'immissione in
commercio ed all'importazione di medicinali e di altri prodotti di rilevanza sanitaria;
d) le attività certificatorie;
e) il monitoraggio epidemiologico, ivi compresi la sorveglianza della emergenza o riemergenza delle malattie, e degli eventi avversi nelle vaccinazioni, i registri di patologia e la gestione della
profilassi interna-zionale;
f) l'applicazione della normativa in materia di igiene e sicurezza nei luoghi di lavoro e di sicurezza e salute della popolazione;
g) i trapianti d'organo e le trasfusioni di sangue umano, anche in applicazione della legge 4
maggio 1990, n. 107;
h) l'instaurazione, la gestione, la pianificazione ed il controllo dei rapporti tra l'amministrazione ed i soggetti accreditati o convenzionati del Servizio sanitario nazionale.
2. L'identificazione dell'interessato è riservata ai soggetti che perseguono direttamente le finalità di cui al comma 1. L'accesso alle diverse tipologie di dati è consentito ai soli incaricati del trattamento, preposti caso per caso, alle specifiche fasi delle attività di cui al comma 1, secondo il
principio della pertinenza dei dati di volta in volta trattati.
3. Per quanto non previsto dal decreto di cui all’articolo 23, comma 1-bis della legge, il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale da parte di organismi sanitari
e di esercenti le professioni sanitarie è fatto oggetto di appositi codici di deontologia e buona condotta adottati ai sensi dell'articolo 31, comma 1, lettera h), della legge dalle federazioni nazionali
degli ordini e dei collegi delle professioni sanitarie, la cui accettazione è condizione essenziale per
il trattamento dei dati da parte degli incaricati del trattamento. Il codice prevede anche:
a) l'impegno al rispetto di regole di condotta analoghe al segreto professionale da parte degli
incaricati del trattamento che non sono tenuti in base alla legge al segreto professionale;
b) le modalità di applicazione dell'articolo 23, comma 2, della legge ai professionisti sanitari,
diversi dai medici, che intrattengono rapporti diretti con i pazienti;
c) modalità semplificate per l'informativa agli interessati e per la prestazione del loro consenso;
c-bis) identificazione dei casi di urgenza nei quali l’informativa e il consenso possono intervenire successivamente alla richiesta della prestazione.
4. Con i decreti di cui all'articolo 15, commi 2 e 3, della legge, sono individuate le misure minime per garantire la sicurezza dei trattamenti effettuati con tecniche di cifratura o mediante codici
identificativi, anche al fine di assicurare il trattamento disgiunto dei dati di cui al comma 3 dagli altri dati personali che permettono di identificare direttamente gli interessati.
185
Normativa
5. Il trattamento dei dati genetici è consentito nei soli casi previsti da apposita autorizzazione
rilasciata dal Garante, sentito il Ministro della sanità, che acquisisce, a tal fine, il parere del Consiglio superiore di sanità. I trattamenti autorizzati dal Garante possono essere proseguiti fino al rilascio
dell’autorizzazione prevista dal presente comma, che in sede di prima applicazione della presente disposizione è rilasciata entro dodici mesi dalla data della relativa entrata in vigore.
Art. 18.
Interruzione volontaria della gravidanza
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati volti all'applicazione della disciplina in materia di tutela sociale della maternità e sull'interruzione volontaria della gravidanza, con particolare riferimento ai trattamenti svolti per:
a) la gestione dei consultori familiari;
b) l'informazione, la cura e la degenza delle madri, nonché per gli interventi di interruzione
della gravidanza.
Art. 19.
Tossicodipendenze
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati volti all'applicazione della disciplina in materia di stupefacenti e sostanze psicotrope, prevenzione, cura e riabilitazione dei relativi stati di tossicodipendenza.
2. Tra i trattamenti effettuati per le finalità di cui al comma 1, si intendono ricompresi, in particolare quelli svolti al fine di assicurare, anche avvalendosi di enti ed associazioni senza fine di lucro,
i servizi pubblici necessari per l'assistenza socio„-„sanitaria ai tossicodipendenti e gli interventi preventivi, curativi e riabilitativi previsti dalle leggi e di applicare le misure amministrativepreviste.
Art. 20.
Portatori di handicap
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati volti all'applicazione della disciplina in materia di assistenza, integrazione sociale e diritti delle persone handicappate.
2. Tra i trattamenti effettuati per le finalità di cui al comma 1, si intendono ricompresi, in particolare, anche quelli svolti al fine di:
a) accertare l'handicap ed assicurare la funzionalità dei servizi terapeutici e riabilitativi, di
aiuto personale e familiare, nonché interventi economici integrativi ed altre agevolazioni;
b) assicurare adeguata informazione alla famiglia della persona handicappata;
c) curare l'integrazione sociale, l'educazione e l'istruzione del portatore di handicap, nonché
il collocamento obbligatorio nei casi previsti dalla legge;
d) realizzare comunità„-„alloggio e centri socio riabilitativi;
e) curare la tenuta degli albi regionali degli enti e delle associazioni ed organizzazioni di volontariato impegnati nel settore.
Art. 21.
Rapporti con enti di culto
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati
strettamente necessari allo svolgimento dei rapporti istituzionali con enti di culto, confessioni religiose e comunità religiose.
186
Normativa
Art. 22.
Statistica
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico i trattamenti svolti dai
soggetti pubblici che fanno parte del sistema statistico nazionale ai sensi del decreto legislativo 6 settembre 1989, n. 322.
Art. 23.
Ricerca storica e archivi
1. Ai sensi dell'articolo 1, si considerano di rilevante interesse pubblico i trattamenti di dati a
fini storici, di studio, di ricerca e di documentazione, concernenti la conservazione, l'ordinamento e
la comunicazione dei documenti conservati negli archivi di Stato e negli archivi storici degli enti pubblici, secondo quanto disposto dal decreto del Presidente della Repubblica 30 settembre 1963, n.
1409, e successive modificazioni e integrazioni.
Art. 24.
Entrata in vigore
1. Il presente decreto entra in vigore il giorno successivo a quello della sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.
Il presente decreto, munito del sigillo dello Stato, sarà inserito nella Raccolta ufficiale degli atti normativi della Repubblica italiana. È fatto obbligo a chiunque spetti di osservarlo e di farlo osservare.
Dato a Roma, addì 11 maggio 1999
SCALFARO
D'ALEMA, Presidente del Consiglio dei Ministri
PIAZZA, Ministro per la funzione pubblica
TURCO, Ministro per la solidarietà sociale
DILIBERTO, Ministro di grazia e giustizia
RUSSO JERVOLINO, Ministro dell'interno
DINI, Ministro degli affari esteri
VISCO, Ministro delle finanze
CIAMPI, Ministro del tesoro, del bilancio e della programmazione economica
MELANDRI, Ministro per i beni e le attività culturali
BINDI, Ministro della sanità
BERLINGUER, Ministro della pubblica istruzione
ZECCHINO, Ministro dell'università e della ricerca scientifica e tecnologica
Visto, il Guardasigilli: DILIBERTO
187
Normativa
DECRETO LEGISLATIVO 30 LUGLIO 1999, N. 281
Disposizioni in materia di trattamento dei dati personali per finalità storiche, statistiche e di ricerca scientifica
IL PRESIDENTE DELLA REPUBBLICA
Visti gli articoli 76 e 87 della Costituzione;
Visto l’articolo 14 della legge 23 agosto 1988, n. 400;
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni;
Vista la legge 31 dicembre 1996, n. 676, recante delega al Governo in materia di tutela delle
persone e di altri soggetti rispetto al trattamento dei dati personali e le raccomandazioni del Consiglio d’Europa ivi citate;
Visto il decreto legislativo 11 maggio 1999, n. 135;
Vista la legge 6 ottobre 1998, n. 344;
Visto il decreto legislativo 5 giugno 1998, n. 204;
Visto il decreto legislativo 6 settembre 1989, n. 322;
Sentito il Garante per la protezione dei dati personali;
Vista la deliberazione preliminare del Consiglio dei Ministri adottata nella riunione del 2 luglio
1999;
Acquisito il parere delle competenti commissioni della Camera dei deputati e del Senato della
Repubblica;
Vista la deliberazione del Consiglio dei Ministri, adottata nella riunione del 29 luglio 1999;
Sulla proposta del Presidente del Consiglio dei Ministri, di concerto con i Ministri per i beni e
le attività culturali, dell’università e della ricerca scientifica e tecnologica, di grazia e giustizia e dell’interno;
EMANA
il seguente decreto legislativo:
CAPO I
DISPOSIZIONI COMUNI
Art. 1.
Ambito di applicazione e definizioni
1. Il presente decreto disciplina le modalità di trattamento dei dati personali utilizzati per scopi storici, di ricerca scientifica e di statistica, e individua alcune garanzie per il rispetto dei diritti e
delle libertà fondamentali degli interessati, tenendo conto dei principi contenuti nelle raccomandazioni del Consiglio d’Europa n. R (83)10, adottata il 23 settembre 1983, e n. R (97) 18 adottata il 30
settembre 1997.
2. Ai fini del presente decreto e delle disposizioni da esso modificate, si applicano le definizioni elencate nell’articolo 1 della legge 31 dicembre 1996, n. 675, di seguito denominata “legge”, e si
intendono per:
a) “scopi storici”, le finalità di studio, indagine, ricerca e documentazione di figure, fatti e circostanze del passato;
188
Normativa
b) “scopi di ricerca scientifica”, le finalità di studio e di indagine sistematica finalizzata allo
sviluppo delle conoscenze scientifiche in uno specifico settore;
c) “scopi statistici”, le finalità di indagine statistica o di produzione di risultati statistici.
3. Ai trattamenti di cui al presente decreto restano applicabili le disposizioni del decreto 11
maggio 1999, n. 135, relativamente ai soggetti in detto decreto indicati.
Art. 2.
Notificazione
1. All’articolo 7 della legge sono apportate le seguenti modifiche:
a) nel comma 5-bis, dopo la lettera c), è inserita la seguente lettera:
“c-bis) per scopi storici, di ricerca scientifica e di statistica in conformità alle leggi, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi
dell’articolo 31”;
b) nel comma 5-ter, dopo la lettera q), è inserita la seguente lettera:
“q-bis) è compreso nel programma statistico nazionale o in atti di programmazione statistica previsti dalla legge ed è effettuato in conformità alle leggi, ai regolamenti, alla normativa comunitaria e
ai codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31”.
Art. 3.
Compatibilità tra gli scopi e durata del trattamento
1. All’articolo 9 della legge, dopo il comma 1 è aggiunto il seguente comma:
“1-bis. Il trattamento di dati personali per scopi storici, di ricerca scientifica o di statistica è
compatibile con gli scopi per i quali i dati sono raccolti o successivamente trattati e può essere effettuato anche oltre il periodo necessario a questi ultimi scopi.”
Art. 4.
Presupposti del trattamento e casi di esclusione del consenso
1. La lettera d) dell’articolo 12, comma 1, della legge, è sostituita dalla seguente:
“d) è finalizzato unicamente a scopi di ricerca scientifica o di statistica ed è effettuato nel rispetto deicodici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31”.
2. La lettera a) dell’articolo 21, comma 4, della legge, è sostituita dalla seguente:
“a) qualora siano necessarie per finalità di ricerca scientifica o di statistica e siano effettuate
nel rispetto dei codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31”.
3. Nell’articolo 28, commna 4, della legge, dopo la lettera g) è inserita la seguente lettera:
“g-bis) il trattamento sia finalizzato unicamente a scopi di ricerca scientifica o di statistica e sia
effettuato nel rispetto dei codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31”.
Art. 5.
Cessazione del trattamento e conservazione dei dati
1. Nel comma 2 dell’articolo 16 della legge 31 dicembre 1996, n. 675, è inserita, in fine, la seguente lettera:
“c-bis) conservati o ceduti ad altro titolare, per scopi storici, di ricerca scientifica e di statistica, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di
buona condotta sottoscritti ai sensi dell’articolo 31”.
189
Normativa
Art. 6.
Codici di deontologia e di buona condotta
1. Ai sensi dell’articolo 31, comma 1, lettera h), della legge, entro sei mesi dalla data di entrata in vigore del presente decreto, il Garante promuove la sottoscrizione di uno o più codici di deontologia e di buona condotta per i soggetti pubblici e privati, ivi comprese le società scientifiche e le
associazioni professionali, interessati al trattamento dei dati per gli scopi indicati nell’articolo 1 del
presente decreto, tenendo conto della specificità dei trattamenti nei diversi ambiti. I codici sono pubblicati nella Gazzetta Ufficiale della Repubblicaitaliana a cura del Garante.
2. Il rispetto delle disposizioni contenute nei codici di cui al comma 1 costituisce condizione essenziale per la liceità del trattamento dei dati.
CAPO II
TRATTAMENTI PER SCOPI STORICI
Art. 7.
Modalità di trattamento e codici di deontologia e di buona condotta
1. I dati personali raccolti per scopi storici non possono essere utilizzati per adottare atti o provvedimenti amministrativi sfavorevoli all’interessato, salvo che siano utilizzati anche per altre finalità
nel rispetto dell’articolo 9 della legge.
2. I documenti trattati per scopi storici possono essere utilizzati, tenendo conto della loro natura, solose pertinenti e indispensabili per il perseguimento dei predetti scopi. I dati personali possono
essere diffusi solo se parimenti utilizzati per il perseguimento dei medesimi scopi.
3. I dati personali possono essere comunque diffusi qualora siano relativi a circostanze o fatti
resi noti direttamente dall’interessato o attraverso i suoi comportamenti in pubblico.
4. Le disposizioni dell’articolo 4 si applicano anche agli archivi privati dichiarati di notevole interesse storico ai sensi dell’articolo 36 del decreto del Presidente della Repubblica 30 settembre
1963, n. 1409.
5. Il codice di deontologia e di buona condotta per i trattamenti a scopi storici effettuati da archivisti e utenti individua, in particolare:
a) le regole di correttezza e di non discriminazione nei confronti degli utenti da osservare anche
nella comunicazione e diffusione dei dati, in armonia con le disposizioni della legge applicabili ai
trattamenti di dati per finalità giornalistiche o di pubblicazione di articoli, saggi e altre manifestazioni del pensiero;
b) le particolari cautele per la raccolta, la consultazione e la diffusione di documenti concernenti dati idonei a rivelare lo stato di salute, la vita sessuale o rapporti riservati di tipo familiare, identificando casi in cui l’interessato o chi vi abbia interesse è informato dall’utente della prevista
diffusione di dati;
c) le modalità di applicazione agli archivi privati della disciplina dettata in materia di trattamento dei dati a scopi storici, anche in riferimento all’uniformità dei criteri da seguire per la consultazione e alle cautele da osservare nella comunicazione e nella diffusione.
Art. 8.
Consultabilità di documenti
1. Nell’articolo 2 del decreto del Presidente della Repubblica 30 dicembre 1975, n. 854, recante “Attribuzioni del Ministero dell’interno in materia di documenti archivistici non ammessi alla
libera consultabilità”, è inserito, in ultimo, il seguente comma:
190
Normativa
“Con decreto del Ministro dell’interno è istituita la commissione per le questioni inerenti alla
consultabilità degli atti d’archivio riservati. La commissione fornisce la consulenza al Ministro nell’analisi comparativa degli interessi alla accessibilità degli atti e la tutela della riservatezza individuale. Nella composizione della commissione è assicurata la partecipazione di un rappresentante del
Ministero per i beni e le attività culturali.”.
2. All’articolo 21 del decreto del Presidente della Repubblica 30 settembre 1963, n. 1409, recante “Norme relative all’ordinamento ed al personale degli Archivi di Stato”, sono apportate le seguenti modifiche:
a) nel primo comma, le parole da: “, e di quelli riservati relativi a situazioni puramente private” fino alla fine del comma sono sostituite dalle seguenti: “e di quelli contenenti i dati di cui agli articoli 22 e 24 della legge 31 dicembre 1996, n. 675, che diventano liberamente consultabili quaranta
anni dopo la loro data.Il termine è di settanta anni se i dati sono idonei a rivelare lo stato di salute o
la vita sessuale o rapporti riservati di tipo familiare. Anteriormente al decorso dei termini di cui al
presente comma, i documenti restano accessibili ai sensi della disciplina sull’accesso ai documenti
amministrativi; sull’istanza di accesso provvede l’amministrazione che deteneva il documento prima
del versamento o del deposito”;
b) il secondo comma è sostituito dal seguente: “Il Ministro dell’interno, previo parere del direttore dell’Archivio di Stato competente e udita la commissione per le questioni inerenti alla consultabilità degli atti di archivio riservati istituita presso il Ministero dell’interno, può permettere, se
necessario per scopi storici, la consultazione di documenti di carattere riservato anche prima della
scadenza dei termini indicati nel comma precedente. In tal caso l’autorizzazione è rilasciata, a parità
di condizioni, ad ogni altro richiedente.”;
c) nel terzo comma, sono aggiunte in fine le parole: “nonché dell’articolo 21-bis”.
Art. 9.
Comunicazione e diffusione di dati
consultabili presso l’Archivio centrale dello Stato e gli Archivi di Stato
1. Dopo l’articolo 21 del decreto del Presidente della Repubblica 30 settembre 1963, n. 1409,
recante “Norme relative all’ordinamento ed al personale degli Archivi di Stato”, è inserito il seguente:
Art. 21-bis
Trattamento di dati personali per scopi storici
1. I documenti per i quali è autorizzata la consultazione ai sensi dell’articolo 21, secondo comma, conservano il loro carattere riservato e non possono essere diffusi.
2. I documenti detenuti presso l’Archivio centrale dello Stato e gli Archivi di Stato sono conservati e consultabili anche in caso di esercizio dei diritti dell’interessato ai sensi dell’articolo 13 della legge 31 dicembre 1996, n. 675, qualora ciò risulti necessario per scopi storici. Ai documenti è
allegata la documentazione relativa all’esercizio dei diritti. Su richiesta di chiunque vi abbia interesse ai sensi del medesimo articolo 13, può essere comunque disposto il blocco dei dati personali, qualora il loro trattamento comporti un concreto pericolo di lesione della dignità, della riservatezza o
dell’identità personale degli interessati e i dati non siano di rilevante interesse pubblico”.
3. Nell’articolo 22 del decreto del Presidente della Repubblica 30 settembre 1963, n. 1409, recante “Norme relative all’ordinamento ed al personale degli Archivi di Stato’’, sono apportate le seguenti modifiche:
a) nella rubrica, le parole: ``nell’articolo precedente’’ sono sostituite dalle seguenti: ``negli articoli 21 e 21-bis’’;
b) nel primo comma, le parole: ``dell’articolo precedente’’ sono sostituite dalle seguenti: ``degli articoli 21 e 21-bis’’;
c) nel primo comma, è inserita in fine la seguente lettera:
191
Normativa
“b-bis) agli archivi privati utilizzati per scopi storici, secondo le modalità individuate, nel rispetto della normativa in materia di protezione dei dati personali, dal codice di deontologia e di buona condotta sottoscritto ai sensi dell’articolo 31, comma 1, lettera h), della legge 31 dicembre 1996,
n. 675’’”.
CAPO III
TRATTAMENTI PER SCOPI STATISTICI E DI RICERCA SCIENTIFICA
Art. 10.
Modalità di trattamento e codici di deontologia
1. Le disposizioni del presente capo si applicano ai trattamenti di dati per scopi statistici e, in
quanto applicabili, di ricerca scientifica.
2. Gli scopi statistici e di ricerca scientifica devono essere chiaramente determinati e resi noti
all’interessato, nei modi di cui all’articolo 10 della legge anche in relazione a quanto previsto dal comma 6, lettera b) e dall’articolo 6-bis del decreto legislativo 6 settembre 1989, n. 322, introdotto dall’articolo 11 del presente decreto.
3. I dati personali trattati per scopi statistici e di ricerca scientifica non possono essere utilizzati per prendere decisioni o provvedimenti relativamente all’interessato, né per trattamenti di dati
per scopi di altra natura.
4. Fermo restando quanto previsto dall’articolo 22, commi 3 e 3-bis, della legge e fuori dei casi
di particolari indagini statistiche o di ricerca scientifica previste per legge, il consenso per il trattamento dei dati di cui al medesimo articolo 22 può essere prestato con modalità semplificate individuate dal codice deontologico e l’autorizzazione del Garante può essere rilasciata anche ai sensi
dell’articolo 41, comma 7, della legge.
5. Agli effetti dell’applicazione del presente Capo, per “dati identificativi” si intendono i dati
personali che permettono l’identificazione diretta dell’interessato. Per quanto riguarda l’identificabilità dell’interessato si osserva quanto previsto ai sensi del comma 6, lettera c).
6. Con uno o più codici di deontologia e di buona condotta per il trattamento a scopi statistici e
di ricerca scientifica in ambito pubblico e privato sono individuati, tenendo conto, per i soggetti già
compresi nell’ambito del Sistema statistico nazionale, di quantogià previsto dal decreto legislativo 6
settembre 1989,n. 322, in particolare:
a) i presupposti e i procedimenti per documentare e verificare che i trattamenti, fuori dai casi
previsti dal decreto legislativo 6 settembre 1989, n. 322, siano svolti per idonei ed effettivi scopi statistici e di ricerca scientifica;
b) per quanto non previsto dalla legge e dal presente decreto, gli ulteriori presupposti del trattamento e le connesse garanzie, anche in riferimento alla durata della conservazione dei dati, alle
informazioni da rendere agli interessati relativamente ai dati raccolti anche presso terzi, alla comunicazione e diffusione, ai criteri selettivi da osservare per il trattamento di dati identificativi, alle specifiche misure di sicurezza e alle modalità per la modifica dei dati a seguito dell’esercizio dei diritti
dell’interessato, tenendo conto dei principi contenuti nelle raccomandazioni di cui all’articolo 1;
c) l’insieme dei mezzi che possono essere ragionevolmente utilizzati dal titolare del trattamento o da altri per identificare l’interessato, anche in base alle conoscenze acquisite in base al progresso tecnico;
d) le garanzie da osservare ai fini dell’applicazione delle disposizioni di cui agli articoli 12,
comma 1, lettera d) e 21, comma 4, lettera a), della legge che permettono di prescindere dal consenso dell’interessato, tenendo conto dei principi contenuti nelle raccomandazioni di cui all’articolo 1;
e) modalità semplificate per la prestazione del consenso degli interessati relativamente al trattamento dei dati di cui all’articolo 22, comma 1, della legge;
f) le regole di correttezza da osservare nella raccolta dei dati e le istruzioni da impartire al personale incaricato;
192
Normativa
g) le misure da adottare per favorire il rispetto dei principi di pertinenza e non eccedenza dei
dati e delle misure di sicurezza di cui all’articolo 15 della legge, anche in riferimento alle cautele volte ad impedirel’accesso da parte di persone fisiche non incaricate del trattamento e l’identificazione
non autorizzata degli interessati, all’interconnessione dei sistemi informativi anche nell’ambito del Sistema statistico nazionale e all’interscambio di dati per scopi statistici e di ricerca scientifica da effettuarsi con enti ed uffici situati all’estero anche sulla base delle garanzie previste dall’articolo 28,
comma 4, lettera g), della legge;
h) l’impegno al rispetto di regole di condotta degli incaricati del trattamento che non sono tenuti
in base alla legge al segreto d’ufficio o professionale, tali da assicurare analoghi livelli di sicurezza e
di riservatezza.
Art. 11.
Disposizioni sul Sistema statistico nazionale
1. Dopo l’articolo 6 del decreto legislativo 6 settembre 1989, n. 322, recante “Norme sul Sistema statistico nazionale e sulla riorganizzazione dell’Istituto nazionale di statistica, ai sensi dell’articolo 24 della legge 23 agosto 1988, n. 400”, è inserito il seguente:
Art. 6-bis
Trattamenti di dati personali
1. I soggetti che fanno parte o partecipano al Sistema statistico nazionale possono raccogliere ed
ulteriormente trattare i dati personali necessari per perseguire gli scopi statistici previsti dal presente decreto, dalla legge o dalla normativa comunitaria, qualora il trattamento di dati anonimi non permetta di raggiungere i medesimi scopi.
2. Nel programma statistico nazionale sono illustrate le finalità perseguite e le garanzie previste
dal presente decreto e dalla legge 31 dicembre 1996, n. 675. Il programma indica anche i dati di cui
agli articoli 22 e 24 della medesima legge, le rilevazioni per le quali i dati sono trattati e le modalità
di trattamento. Il programma è adottato sentito il Garante per la protezione dei dati personali.
3. Quando sono raccolti per altri scopi, i dati personali possono essere ulteriormente trattati per
scopi statistici, se ciò è previsto dal presente decreto, dalla legge, dalla normativa comunitaria o da
un regolamento.
4. I dati personali raccolti specificamente per uno scopo statistico possono essere trattati dai
soggetti di cui al comma 1 per altri scopi statistici di interesse pubblico previsti ai sensi del comma
3, quando questi ultimi sono chiaramente determinati e di limitata durata. Tale eventualità, al pari di
quella prevista dal medesimo comma 3, è chiaramente rappresentata agli interessati al momento della raccolta o, quando ciò non è possibile, è resa preventivamente nota al pubblico e al Garante nei
modi e nei termini previsti dal codice di deontologia e di buona condotta.
5. I dati personali sono resi anonimi dopo la raccolta o quando la loro disponibilità non sia più
necessaria per i propri trattamenti statistici.
6. I dati identificativi, qualora possano essere conservati, sono custoditi separatamente da ogni
altro dato personale salvo che ciò, in base ad un atto motivato per iscritto, risulti impossibile in ragione delle particolari caratteristiche del trattamento o comporti un impiego di mezzi manifestamente sproporzionato. I dati personali trattati per scopi statistici sono conservati separatamente da ogni
altro dato personale trattato per finalità che non richiedano il loro utilizzo.
7. I dati identificativi, qualora possano essere conservati, sono abbinabili ad altri dati, sempre
che l’abbinamento sia temporaneo ed essenziale per i propri trattamenti statistici.
8. In caso di esercizio dei diritti dell’interessato ai sensi dell’articolo 13 della legge 31 dicembre 1996, n. 675, l’aggiornamento, la rettificazione o l’integrazione dei dati sono annotate senza modificare questi ultimi qualora il risultato di tali operazioni non produca effetti significativi sull’analisi
statistica o sui risultati statistici.”.
193
Normativa
Art. 12.
Modifiche a disposizioni vigenti
1. Il comma 2 dell’articolo 7 del decreto legislativo6 settembre 1989, n. 322, recante “Norme
sul Sistema statistico nazionale e sulla riorganizzazione dell’Istituto nazionale di statistica, ai sensi
dell’articolo 24 della legge 23 agosto 1988, n. 400”, è sostituito dal seguente:
“2. Non rientrano nell’obbligo di cui al comma 1 i dati personali di cui agli articoli 22 e 24 della legge31 dicembre 1996, n. 675.”.
2. Nell’articolo 9, comma 1, del decreto legislativo 6 settembre 1989, n. 322, le parole: “, in modo che non se ne possa trarre alcun riferimento individuale” sono sostituite dalle parole: “, in modo
che non se ne possa trarre alcun riferimento relativamente a persone identificabili”.
3. Il comma 2 dell’articolo 9 del decreto legislativo6 settembre 1989, n. 322, è sostituito dal seguente:
“2. I dati di cui al comma 1 non possono essere comunicati o diffusi se non in forma aggregata
e secondo modalità che rendano non identificabili gli interessati ad alcun soggetto esterno, pubblico
o privato, né ad alcun ufficio della pubblica amministrazione. In ogni caso, i dati non possono essere
utilizzati al fine di identificare nuovamente gli interessati.”.
4. Nel comma 4 dell’articolo 9, del decreto legislativo 6 settembre 1989, n. 322, le parole: “presenti nei pubblici registri” sono sostituite dalle seguenti: “provenienti da pubblici registri, elenchi,
atti o documenti conoscibili da chiunque”.
5. Nell’articolo 12, comma 1, lettera a), del decreto legislativo 6 settembre 1989, n. 322, le parole: “e sull’osservanza delle norme” sono sostituite dalle seguenti: “e contribuisce alla corretta applicazione delle norme” e alla fine del periodo sono aggiunte le seguenti:“, segnalando anche al
Garante per la protezione dei dati personali i casi di inosservanza delle medesime norme o assicurando altra collaborazione nei casi in cui la natura tecnica dei problemi lo richieda”.
6. Nell’articolo 12, comma 2, del decreto legislativo 6 settembre 1989, n. 322, sono inserite in
fine le seguenti parole: “, ed è sentita ai fini della sottoscrizione dei codici di deontologia e di buona
condotta relativi al trattamento dei dati personali nell’ambito del Sistema statistico nazionale.”.
CAPO IV
NORME MODIFICATIVE E INTEGRATIVE DELLA LEGGE N. 675/1996
E DISPOSIZIONI FINALI E TRANSITORIE
Art. 13.
Ricorsi
1. All’articolo 29 della legge 31 dicembre 1996, n. 675, sono apportate le seguenti modifiche:
a) nel comma 4, la parola: “venti” è sostituita dalla parola “trenta”;
b) dopo il comma 6 è aggiunto, in fine, il seguente comma:
“6-bis. Il decorso dei termini previsti dai commi 4, 5 e 6 è sospeso di diritto dal 1º al 30 agosto
di ciascun anno e riprende a decorrere dalla fine del periodo di sospensione. Ove il decorso abbia inizio durante tale periodo, l’inizio stesso è differito alla fine del periodo medesimo. La sospensione non
opera nei casi in cui sussista il pregiudizio di cui al comma 2 e non preclude l’adozione dei provvedimenti di cui al comma 5.”.
Art. 14.
Sanzioni amministrative
1. Nel comma 3 dell’articolo 39 della legge 31 dicembre 1996, n. 675, è aggiunto, in fine, il seguente periodo: “I proventi, nella misura del cinquanta per cento del totale annuo, sono riassegnati
194
Normativa
al fondo di cui all’articolo 33, comma 2, e sono ulilizzati unicamente perl’esercizio dei compiti di cui
agli articoli 31, comma 1,lettera i) e 32”.
Art. 15.
Dati relativi ai provvedimenti di cui all’articolo 686 del codice di procedura penale
1. All’articolo 5 del decreto legislativo 11 maggio 1999, n. 135, è aggiunto il seguente comma:
“5-bis. In relazione alle finalità individuate nel capo II, i soggetti pubblici identificano e rendono pubblici, con le modalità di cui ai commi 4 e 5 e nel rispetto delle disposizioni del capo I del
presente decreto, anche i tipi di dati e di operazioni oggetto del trattamento di cui all’articolo 24 della legge.”.
Art. 16.
Dati genetici
1. Nell’articolo 17, comma 5, del decreto legislativo 11 maggio 1999, n. 135, tra le parole: “dei
dati genetici” e le parole: “è consentito” sono inserite le seguenti: “da chiunque effettuato”, ed è aggiunto, in fine, il seguente periodo: “I trattamenti autorizzati dal Garante possono essere proseguiti fino al rilascio dell’autorizzazione prevista dal presente comma, che in sede di prima applicazione della
presente disposizione è rilasciata entro dodici mesi dalla data della relativa entrata in vigore.”.
Art. 17.
Divulgazione di dati a cura di scuole e istituti scolastici
1. Nella parte II, titolo VII del decreto legislativo16 aprile 1994, n. 297, è inserito il seguente
capo:
“CAPO VIII
Art. 330-bis.
Comunicazioni relative agli studenti
1. Al fine di agevolare l’orientamento, la formazione e l’inserimento professionale, anche all’estero, le scuole e gli istituti scolastici di istruzione secondaria, su richiesta degli interessati, possono
comunicare o diffondere, anche a privati e per via telematica, dati relativi agli esiti scolastici, intermedi e finali, degli studenti e altri dati personali diversi da quelli sensibili o attinenti a provvedimenti
giudiziari indicati negli articoli 22 e 24 della legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni, pertinenti in relazione alle predette finalità e indicati nell’informativa resa
agli interessati ai sensi dell’articolo 10 della citata legge n. 675 del 1996. I dati possono essere successivamente trattati esclusivamente per le predette finalità. Restano ferme le vigenti disposizioni in
materia di pubblicazione dell’esito degli esami mediante affissione nell’albo dell’istituto e di rilascio
di diplomi e certificati.”.
2. I dati di cui all’articolo 330-bis del decreto legislativo 16 aprile 1994, n. 297, introdotto dal
comma 1, raccolti prima dell’entrata in vigore della medesima disposizione e riguardanti studenti già
diplomati, per i quali non è prontamente acquisibile la richiesta, possono essere comunicati o diffusi
decorsi trenta giorni dalla notizia che le scuole e gli istituti scolastici, ovvero il Ministero della pubblica istruzione, rendono nota mediante annunci al pubblico. Gli interessati possono opporsi alla divulgazione, in tutto o in parte, dei dati che li riguardano.
195
Normativa
Art. 18.
Entrata in vigore
1. Le disposizioni del presente decreto entrano in vigore il 1º ottobre 1999. Le disposizioni di
cui al capo IV entrano in vigore il giorno successivo a quello della pubblicazione del presente decreto nella Gazzetta Ufficiale della Repubblica italiana.
2. Le disposizioni di cui all’articolo 4 si applicano nei singoli settori della ricerca scientifica e
della statistica a decorrere dalla data in cui nei medesimi settori divengono efficaci i codici di cui all’articolo 6.
Il presente decreto, munito del sigillo dello Stato, sarà inserito nella Raccolta ufficiale degli atti normativi della Repubblica italiana. E_ fatto obbligo a chiunque spetti di osservarlo e di farlo osservare.
Dato a Roma, addì 30 luglio 1999
CIAMPI
D’Alema, Presidente del Consiglio dei Ministri
Melandri, Ministro per i beni e le attività culturali
Zecchino, Ministro dell’università e della ricerca scientifica e tecnologica
Diliberto, Ministro digrazia e giustizia
Russo Jervolino, Ministro dell’interno
Visto, il Guardasigilli: Diliberto
196
Normativa
DECRETO LEGISLATIVO 30 LUGLIO 1999, N. 282
Disposizioni per garantire la riservatezza dei dati personali in ambito sanitario
IL PRESIDENTE DELLA REPUBBLICA
Visti gli articoli 76 e 87 della Costituzione;
Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni;
Vista la legge 31 dicembre 1996, n. 676, recante delega al Governo in materia di tutela delle
persone e di altri soggetti rispetto al trattamento dei dati personali e le raccomandazioni del Consiglio d’Europa ivi citate;
Visto il decreto legislativo 11 maggio 1999, n. 135;
Vista la legge 6 ottobre 1998, n. 344;
Visto il decreto-legge 17 febbraio 1998, n. 23, convertito, con modificazioni, dalla legge 8 aprile 1998, n. 94;
Sentito il Garante per la protezione dei dati personali;
Visto l’articolo 14 della legge 23 agosto 1988, n. 400;
Vista la deliberazione preliminare del Consiglio dei Ministri, adottata nella riunione del 2 luglio
1999;
Acquisito il parere delle competenti commissioni della Camera dei deputati e del Senato della
Repubblica;
Vista la deliberazione del Consiglio dei Ministri, adottata nella riunione del 29 luglio 1999;
Sulla proposta del Presidente del Consiglio dei Ministri e del Ministro della sanità, di concerto
con il Ministro di grazia e giustizia;
EMANA
il seguente decreto legislativo:
Art. 1.
Ambito di applicazione e definizioni
1. Il presente decreto disciplina il trattamento dei dati idonei a rivelare lo stato di salute da parte di organismi sanitari pubblici, nonché di organismi sanitari e di esercenti le professioni sanitarie
in regime di convenzione o di accreditamento con il Servizio sanitario nazionale.
2. Il medesimo decreto disciplina anche, limitatamente a quanto specificamente previsto, i trattamenti di dati idonei a rivelare lo stato di salute in ambito sanitario da parte di soggetti diversi da
quelli indicati nel comma 1.
3. Ai fini del presente decreto si applicano le definizioni elencate nell’articolo 1 della legge 31
dicembre 1996, n. 675, di seguito denominata “legge”.
Art. 2.
Informativa e consenso
1. Dopo il comma 1 dell’articolo 23 della legge sono inseriti i seguenti:
“1-bis. Con decreto del Ministro della sanità adottato ai sensi dell’articolo 17, comma 3, della
legge 23 agosto 1988, n. 400, sentiti la Conferenza permanente per i rapporti tra lo Stato, le regioni e
le province autonome di Trento e Bolzano e il Garante, sono individuate modalità semplificate per le
197
Normativa
informative di cui all’articolo 10 e per la prestazione del consenso nei confronti di organismi sanitari pubblici, di organismi sanitari e di esercenti le professioni sanitarie convenzionati o accreditati dal
Servizio sanitario nazionale, nonché per il trattamento dei dati da parte dei medesimi soggetti, sulla
base dei seguenti criteri:
a) previsione di informative effettuate da un unico soggetto, in particolare da parte del medico
di medicina generale scelto dall’interessato, per conto di più titolari di trattamento;
b) validità, nei confronti di più titolari di trattamento, del consenso prestato ai sensi dell’articolo 11, comma 3, per conto di più titolari di trattamento, anche con riguardo alla richiesta di prestazioni specialistiche, alla prescrizione di farmaci, alla raccolta di dati da parte del medico di medicina
generale detenuti da altri titolari, e alla pluralità di prestazioni mediche effettuate da un medesimo titolare di trattamento;
c) identificazione di casi di urgenza nei quali, anche per effetto delle situazioni indicate nel comma
1-ter, l’informativa e il consenso possono intervenire successivamente alla richiesta della prestazione;
d) previsione di modalità di applicazione del comma 2 del presente articolo ai professionisti sanitari, diversi dai medici, che intrattengono rapporti diretti con i pazienti;
e) previsione di misure volte ad assicurare che nell’organizzazione dei servizi e delle prestazioni sia garantito il rispetto dei diritti di cui all’articolo 1.
1-ter. Il decreto di cui al comma 1 disciplina anche quanto previsto dall’articolo 22, comma 3bis, della legge.
1-quater. In caso di incapacità di agire, ovvero di impossibilità fisica o di incapacità di intendere o di volere, il consenso al trattamento dei dati idonei a rivelare lo stato di salute è validamente
manifestato nei confronti di esercenti le professioni sanitarie e di organismi sanitari, rispettivamente,
da chi esercita legalmente la potestà ovvero da un familiare, da un prossimo congiunto, da un convivente, o, in loro assenza, dal responsabile della struttura presso cui dimori”.
2. Nel comma 2 dell’articolo 23 della legge, dopo le parole: “all’interessato” sono inserite le seguenti: “o ai soggetti di cui al comma 1-ter”.
Art. 3.
Modifiche al decreto legislativo 11 maggio 1999, n. 135
1. All’articolo 17, comma 3, del decreto legislativo 11 maggio 1999, n. 135, sono apportate le
seguenti modifiche:
a) all’inizio del comma sono inserite le seguenti parole: “Per quanto non previsto dal decreto di
cui all’articolo 23, comma 1-bis, della legge,”;
b) nella lettera c), tra la parola: “interessati” e la parola: “per” è inserita la congiunzione: “e”;
c) dopo la lettera c) è inserita la seguente:
“c-bis. identificazione di casi di urgenza nei quali l’informativa e il consenso possono intervenire successivamente alla richiesta della prestazione”.
Art. 4.
Prescrizioni mediche
1. Fermi restando i casi in cui norme speciali prevedono che le ricette siano rilasciate in forma
anonima o con particolari annotazioni, con decreto del Ministro della sanità da adottarsi entro sei mesi dalla data di entrata in vigore del presente decreto, sentito il Garante, sono individuati i medicinali diversi da quelli di cui al comma 2 per la cui prescrizione non è richiesta l’indicazione delle
generalità dell’interessato.
2. Le ricette relative a prescrizioni di medicinali a carico, anche parziale, del Servizio sanitario nazionale sono redatte su apposito modello, approvato con il decreto di cui al comma 1. Detto modello, la
cui utilizzazione è obbligatoria decorsi diciotto mesi dalla data di entrata in vigore del decreto di cui al
comma 1, è conformato in modo da permettere di risalire all’identità dell’interessato solo in caso di ne-
198
Normativa
cessità connesse al controllo della correttezza della prescrizione, ovvero a fini di verifiche amministrative o per scopi epidemiologici e di ricerca, nel rispetto delle norme deontologiche applicabili.
3. I modelli di cui al comma 2 sono utilizzati entro diciotto mesi dalla data di entrata in vigore
del decreto di cui al comma 1.
4. Nei casi in cui è fatto obbligo di accertare l’identità dell’interessato ai sensi del testo unico
delle leggi in materia di disciplina degli stupefacenti e sostanze psicotrope, prevenzione, cura e riabilitazione dei relativi stati di tossicodipendenza approvato con decreto del Presidente della Repubblica 9 ottobre 1990, n. 309, le ricette sono conservate separatamente da ogni altro documento che
non ne richieda l’utilizzo.
5. Le ricette disciplinate dall’articolo 5 del decreto legislativo 30 dicembre 1992, n. 539, e successive modificazioni, sono conservate dal farmacista per il periodo prescritto, e successivamente distrutte, con modalità atte ad escludere l’accesso di terzi ai dati contenuti nelle stesse.
Art. 5.
Ricerca medica ed epidemiologica
1. Per il trattamento dei dati idonei a rivelare lo stato di salute finalizzato a scopi di ricerca
scientifica in campo medico, biomedico o epidemiologico, il consenso dell’interessato non è necessario qualora la ricerca sia prevista da un’espressa previsione di legge o rientri nel programma di ricerca biomedica o sanitaria di cui all’articolo 12-bis del 30 dicembre 1992, n. 502, e successive
modificazioni ed integrazioni.
2. In caso di esercizio dei diritti dell’interessato ai sensi dell’articolo 13 della legge nei riguardi dei trattamenti di cui al comma 1, l’aggiornamento, la rettificazione e l’integrazione dei dati sono
annotati senza modificare questi ultimi, qualora il risultato di tali operazioni non produca effetti significativi sul risultato della ricerca.
3. Resta fermo quanto previsto per la ricerca scientifica dai decreti legislativi emanati in attuazione della legge 31 dicembre 1996, n. 676.
Art. 6.
Carte sanitarie elettroniche
1. Le carte sanitarie elettroniche di cui all’articolo 59, comma 50, lettera i), della legge 27 dicembre 1997, n. 449 e dall’articolo 2 del decreto-legge 28 dicembre 1998, n. 450, convertito, con
modificazioni, dalla legge 26 febbraio 1999, n. 39, sono fornite a tutti i soggetti residenti nelle aree
territoriali delle aziende sanitarie locali nelle quali si svolge la sperimentazione, previa informativa
ai sensi dell’articolo 10 della legge.
2. Gli interessati possono opporsi all’inserimento nelle carte di cui al comma 1 dei dati idonei
a rivelare lo stato di salute che li riguardano e che eccedano i dati relativi alla gestione amministrativa e alle situazioni di interventi di urgenza, quali definite a livello internazionale.
3. Il decreto del Ministro della sanità di cui all’articolo 2, comma 1, del decreto-legge 28 dicembre 1998, n. 450, convertito, con modificazioni, dalla legge 26 febbraio 1999, n. 39, determina
anche, tra le altre garanzie previste dall’articolo 6, comma 4, del decreto legislativo 29 aprile 1998,
n. 124, le categorie di incaricati delle aziende sanitarie locali e di operatori sanitari che possono accedere alle diverse categorie di dati inseriti nelle carte, nonché le categorie professionali tenute ad
inserire i dati e il periodo massimo entro i quali i dati devono essere aggiornati.
Art. 7.
Entrata in vigore
1. Le disposizioni del presente decreto entrano in vigore il 1º ottobre 1999.
199
Normativa
Il presente decreto, munito del sigillo dello Stato, sarà inserito nella Raccolta ufficiale degli atti normativi della Repubblica italiana. E_ fatto obbligo a chiunque spetti di osservarlo e di farlo osservare.
Dato a Roma, addì 30 luglio 1999
CIAMPI
D’Alema, Presidente del Consiglio dei Ministri
Bindi, Ministro della sanità
Diliberto, Ministro digrazia e giustizia
Visto, il Guardasigilli: Diliberto
200
Normativa
DECRETO DEL PRESIDENTE DELLA REPUBBLICA 28 LUGLIO 1999, N. 318
Regolamento recante norme per l’individuazione delle misure minime di sicurezza per il trattamento dei dati personali, a norma dell’articolo 15, comma 2, della
legge 31 dicembre 1996, n. 675
IL PRESIDENTE DELLA REPUBBLICA
Visto l’articolo 87, comma quinto, della Costituzione;
Visto l’articolo 15 della legge 31 dicembre 1996, n. 675, recante «Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali»;
Ritenuto che ai sensi dell’articolo 15, comma 2, della legge 31 dicembre 1996, n. 675, occorre
individuare, in via preventiva, le misure minime di sicurezza per i dati personali oggetto di trattamento, al fine di assicurare il funzionamento dellemisure sanzionatorie penali previste dall’articolo
36 della medesima legge;
Visto l’articolo 17, comma 1, lettera a), della legge 23 agosto 1988, n. 400;
Sentiti l’Autorità per l’informatica nella pubblica amministrazione e il Garante per la protezione dei dati personali;
Udito il parere del Consiglio di Stato, espresso dalla sezione consultiva per gli atti normativi nell’adunanza del 26 aprile 1999;
Ritenuto di dover comunque garantire la possibilità, in caso di più incaricati del trattamento, di
limitare l’accesso a determinati dati personali attraverso la previsione di una specifica parola chiave
per tali dati, senza operare, quindi, alcuna equiparazione tra tale ipotesi e quella relativa allaprevisione di un’unica parola chiave per l’accesso al sistema;
Viste le deliberazioni del Consiglio deiMinistri, adottate nelle riunioni del 16 luglio e del 23 luglio 1999;
Sulla proposta del Ministro di grazia e giustizia;
EMANA
il seguente regolamento:
CAPO I
PRINCIPI GENERALI
Art. 1.
Definizioni
1. Ai fini del presente regolamento si applicano le definizioni elencate nell’articolo1 della legge 31 dicembre1996, n. 675, di seguito denominata legge. Ai medesimi fini si intendono per:
a) «misure minime»: il complesso delle misure tecniche, informatiche, organizzative, logistiche
e procedurali di sicurezza, previste nel presente regolamento, che configurano il livello minimo di
protezione richiesto in relazione ai rischi previsti dall’articolo 15, comma 1, della legge;
b) «strumenti»:i mezzi elettronici o comunque automatizzati con cui si effettua il trattamento;
201
Normativa
c)«amministratori di sistema»: i soggetti cui è conferito il compito di sovrintendere alle risorse
del sistema operativo di un elaboratore o di un sistema di base dati e di consentirne l’utilizzazione.
CAPO II
TRATTAMENTO DEI DATI PERSONALI EFFETTUATO CON STRUMENTI ELETTRONICI
O COMUNQUE AUTOMATIZZATI.
Sezione I
TRATTAMENTO DEI DATI PERSONALI EFFETTUATO MEDIANTE ELABORATORI
NON ACCESSIBILI DA ALTRI ELABORATORI O TERMINALI
Art. 2.
Individuazione degli incaricati
1. Salvo quanto previsto dall’articolo 8, se il trattamento dei datipersonali è effettuato per fini diversi da quelli di cui all’articolo 3 della legge mediante elaboratori non accessibili da altri elaboratori
o terminali, devono essere adottate, anteriormente all’inizio del trattamento, le seguenti misure:
a) prevedere una parola chiave per l’accesso ai dati, fornirla agli incaricati del trattamento e,
ove tecnicamente possibile in relazione alle caratteristiche dell’elaboratore, consentirne l’autonoma
sostituzione, previa comunicazione ai soggetti preposti ai sensi della lettera b);
b) individuare per iscritto, quando vi è più di un incaricato del trattamento e sono in uso più parole chiave, i soggetti preposti alla loro custodia o che hanno accesso ad informazioni che concernono le medesime.
Sezione II
TRATTAMENTO DEI DATI PERSONALI EFFETTUATO
MEDIANTE ELABORATORI ACCESSIBILI IN RETE
Art. 3.
Classificazione
1. Ai fini della presentesezione gli elaboratori accessibili in rete impiegati nel trattamento dei
dati personali sono distinti in:
a)elaboratori accessibili da altri elaboratori solo attraverso reti non disponibili al pubblico;
b) elaboratori accessibili mediante una rete di telecomunicazioni disponibili al pubblico.
Art. 4.
Codici identificativi e protezione degli elaboratori
1. Nel caso di trattamenti effettuati con gli elaboratori di cui all’articolo 3, oltre a quanto previsto dall’articolo 2 devono essere adottate le seguenti misure:
a) a ciascun utente o in caricato del trattamento deve essere attribuito un codice identificativo
personale per l’utilizzazione dell’elaboratore; uno stesso codice, fatta eccezione per gli amministrato-
202
Normativa
ri di sistema relativamente ai sistemi operativi che prevedono un unico livello di accesso per tale funzione, non puo’, neppure in tempi diversi, essere assegnato a persone diverse;
b)i codici identificativi personali devono essere assegnati e gestiti in modo che ne sia prevista
la disattivazione in caso di perdita della qualità che consentiva l’accesso all’elaboratore o di mancato utilizzo dei medesimi per un periodo superiore ai sei mesi;
c) gli elaboratori devono essere protetti contro il rischio di intrusione ad opera di programmi di
cui all’art. 615-quinquies del codice penale, mediante idonei programmi, la cui efficacia ed aggiornamento sono verificati con cadenza almeno semestrale.
2. Le disposizioni di cui al comma 1, lettere a) e b), non si applicano ai trattamenti dei dati personali di cui è consentita la diffusione.
Art. 5.
Accesso ai dati particolari
1. Per il trattamento dei dati di cui agli articoli 22 e 24 della legge effettuato ai sensi dell’articolo 3, l’accesso per effettuare le operazioni di trattamento è determinato sulla base di autorizzazioni
assegnate, singolarmente o per gruppi di lavoro, agli incaricati del trattamento o della manutenzione.
Se il trattamento è effettuato ai sensi dell’articolo 3, comma 1, lettera b), sono oggetto di autorizzazione anche gli strumenti che possono essere utilizzati per l’interconnessione mediante reti disponibili al pubblico.
2. L’autorizzazione, se riferita agli strumenti, deve individuare i singoli elaboratori attraverso i
quali èpossibile accedereper effettuare operazioni di trattamento.
3. Le autorizzazioni all’accesso sono rilasciate e revocate dal titolare e, se designato, dal responsabile. Periodicamente, e comunque almeno una volta l’anno, è verificata la sussistenza delle
condizioni per la loro conservazione.
4. L’autorizzazione all’accesso deve essere limitata ai soli dati la cui conoscenza è necessaria e
sufficiente per lo svolgimento delle operazioni di trattamento o di manutenzione.
5. La validità delle richieste di accesso ai dati personali è verificata prima di consentire l’accesso stesso.
6. Non è consentita l’utilizzazione di un medesimo codice identificativo personale per accedere
contemporaneamente alla stessa applicazione da diverse stazioni di lavoro.
7. Le disposizioni di cui ai commi da la 6 non si applicano al trattamento dei dati personali di
cui è consentita la diffusione.
Art. 6.
Documento programmatico sulla sicurezza
1. Nel caso di trattamento dei dati di cui agli articoli 22 e 24 della legge effettuato mediante
gli elaboratori indicati nell’articolo 3, comma l, lettera b), deve essere predisposto e aggiornato, con
cadenza annuale, un documento programmatico sulla sicurezza dei dati per definire, sulla base dell’analisi dei rischi, della distribuzionedei compiti e delle responsabilità nell’ambito delle strutture
preposte al trattamento dei dati stessi:
a) i criteri tecnici e organizzativi per la protezione delle aree e dei locali interessati dalle misure
di sicurezza nonchè le procedure per controllare l’accesso delle persone autorizzate ai locali medesimi;
b) i criteri e le procedure per assicurare l’integrità dei dati;
c) i criteri e le procedure per la sicurezza delle trasmissioni dei dati, ivi compresi quelli per le
restrizioni di accesso per via telematica;
d) l’elaborazione di un piano di formazione per rendere edotti gli incaricati del trattamento dei
rischi individuati e dei modi per prevenire danni.
2. L’efficacia delle misure di sicurezza adottate ai sensi del comma 1 deve essere oggetto di controlli periodici, da eseguirsi con cadenza almeno annuale.
203
Normativa
Art. 7.
Reimpiego dei supporti di memorizzazione
1. Nel caso di trattamento dei datidi cui agli articoli 22 e 24 della legge effettuato con gli strumenti di cui all’articolo 3, i supporti già utilizzati per il trattamento possono essere riutilizzati qualora le informazioni precedentemente contenute non siano tecnicamente in alcun modo recuperabili,
altrimenti devono essere distrutti.
Sezione III
TRATTAMENTO DEI DATI PERSONALI EFFETTUATO PER FINI ESCLUSIVAMENTE PERSONALI
Art. 8.
Parola chiave
1. Ai sensi dell’articolo 3 della legge, il trattamento per fini esclusivamente personali dei dati
di cui agli articoli 22 e 24 della legge, effettuato con elaboratori stabilmente accessibili da altri elaboratori, è soggetto solo all’obbligo di proteggere l’accesso ai dati o al sistema mediante l’utilizzo di
una parola chiave, qualora i dati siano organizzati in banche di dati.
CAPO III
TRATTAMENTO DEI DATI PERSONALI CON STRUMENTI DIVERSI
DA QUELLI ELETTRONICI O COMUNQUE AUTOMATIZZATI.
Art. 9.
Trattamento di dati personali
1. Nel caso di trattamento di dati personali per fini diversi da quelli dell’articolo 3 della legge,
effettuato, con strumenti diversi da quelli previsti dal capo II, sono osservate le seguenti modalità:
a) nel designaregli incaricati del trattamento per iscritto e nell’impartire le istruzioni ai sensi
degli articoli 8, comma 5, e 19 della legge, il titolare o, se designato, il responsabile devono prescrivere che gli incaricati abbiano accesso ai soli dati personali la cui conoscenza sia strettamente necessaria per adempiere ai compiti loro assegnati;
b) gliatti e i documenti contenenti i dati devono essere conservati in archivi ad accesso selezionato e, se affidati agli incaricati del trattamento, devono essere da questi ultimi conservati e restituiti al termine delle operazioni affidate.
2. Nel caso di trattamento di dati di cui agli articoli 22e 24 della legge, oltre a quanto previsto
nel comma 1, devono essere osservate le seguenti modalità:
a) se affidati agli incaricati del trattamento, gli atti e i documenti contenenti i dati sono conservati, fino alla restituzione, in contenitori muniti di serratura;
b) l’accesso agli archivi deve essere controllato e devono essere identificati e registrati i soggetti
che vi vengono ammessi dopo l’orario di chiusura degli archivi stessi.
Art. 10.
Conservazione della documentazione relativa al trattamento
1. I supporti non informatici contenenti la riproduzione di informazioni relative al trattamento
di dati personali di cui agli articoli 22 e 24 della legge devono essere conservati e custoditi con le modalità di cui all’articolo 9.
204
Normativa
Il presente decreto, munito del sigillo dello Stato, sarà inserito nellaRaccolta ufficiale degli atti normativi della Repubblica italiana. È fatto obbligo a chiunque spetti di osservarlo e di farlo osservare.
Dato a Roma, addì 28 luglio 1999
CIAMPI
D’Alema, Presidente del Consiglio dei Ministri
Diliberto, Ministro digrazia e giustizia
Visto, il Guardasigilli: Diliberto
205
SOMMARIO DEI BOLLETTINI
NUMERI 1, 2, 3, 4, 5, 6, 7 e 8
Sommario
Bollettini «Cittadini e società dell'informazione» nn. 1, 2, 3, 4, 5,
6, 7, 8 e 9.
Risposte a istanze e quesiti
Accesso ai documenti amministrativi
Accesso agli atti delle amministrazioni locali (in bollettino 4 pag. 5, 7, 9, in bollettino 5 pag. 7,
in bollettino 7 pag. 7, in bollettino n. 9 pag. 7). Rapporti tra la legge n. 675 e la legge n. 241/1990,
in bollettino n. 2 pagg. 16, 23, 50, in bollettino n. 3 pag. 32, in bollettino n. 6 pag. 7)
A.l.D.S.
In generale (in bollettino n. 2 pag. 60), in bollettino n. 9 pag. 77.
Albi ed elenchi professionali
(in bollettino n. 1 pagg. 40, 46, in bollettino n. 5 pag. 12, in bollettino n. 6 pag. 11, in bollettino 7, pag. 9)
Consenso (in bollettino n. 7 pag. 9)
Amministrazione della Giustizia
In generale (in bollettino n. 5 pag. 14, in bollettino n. 6 pag. 13)
Consiglio Superiore della magistratura (in bollettino n. 2 pag. 35)
Anagrafi della popolazione
Anagrafe della popolazione residente
Certificazioni (in bollettino n. 1 pag. 43)
Associazioni, fondazioni e comitati
In generale (in bollettino n. 4 pag. 11)
Associazioni sindacali (in bollettino n. 3 pag. 27)
Partiti politici (in bollettino n. 3 pag. 22, in bollettino 4 pag. 12)
Atti, elenchi, registri e documenti pubblici
Atti ed alto materiale accessibile a chiunque (in bollettino n. 4 pagg. 13, 16)
Autorità amministrative indipendenti
Isvap (in bollettino n. 3 pag. 46)
Autorizzazioni
In Generale (in bollettino n. 1 pag. 29 in bollettino n. 2 pag. 7, in bollettino n. 6 pag. 20)
A singoli destinatari (in bollettino 3 pag. 13, in bollettino n. 6 pag. 22)
Dati di carattere giudiziario (in bollettino n. 2 pag. 7, in bollettino n. 4 pag. 17)
Per categorie di titolari o di trattamenti: profili generali (in bollettino n. 2 pag. 101, in bollettino n. 6 pag. 147, in bollettino n. 9 pag. 10)
Cessazione del trattamento
In generale (in bollettino n. 4 pagg. 18, 20, in bollettino n. 6 pag. 24)
Notificazione (in bollettino n. 5 pag. 17)
Consenso dell’interessato
In generale (in bollettino n. 1 pagg. 17, 24, 26 e 39, in bollettino n. 2 pagg. 13, 15, 19, 25 in
bollettino n. 3 pagg. 25, 51, in bollettino n. 7 pag. 10)
Impossibilità diprestazione (in bollettino n. 3 pag. 16)
Istituti di credito (in bollettino n. 6 pag. 25)
Dati “sensibili”
In generale (in bollettino n. 4 pagg. 21, 22, 23, in bollettino n. 6 pag. 28, in bollettino n. 8 pag. 7)
A.I.D.S. (in bollettino n. 7 pag. 13)
209
Sommario
Autorizzazioni (in bollettino n. 6 pag. 29, in bollettino n. 8 pag. 9)
Autorizzazioni - per categorie di titolari o di trattamento (in bollettino n. 4 pagg. 25, 26, 27)
Categorie di dati protetti - Opinioni politiche, partiti e organizzazioni politiche (in bollettino n. 4
pag. 28)
Dati inerenti allo stato di salute - Comunicazione (in bollettino n. 1 pag. 36, in bollettino n. 2
pagg. 18, 30, in bollettino n. 4 pag. 30 in bollettino n. 8 pag. 11)
DATI GENETICI (in bollettino n. 8 pag. 13)
Diritti dell’interessato (in bollettino n. 5 pag. 18)
In generale (in bollettino n. 1 pag. 30, in bollettino n. 4 pag. 31, 32)
Accesso ai dati personali - In generale (in bollettino n. 3 pag. 23, 35, in bollettino n. 5 pag. 19,
in bollettino n. 6 pag. 32)
Comunicazione in forma intelligibile (in bollettino n. 6 pag. 35)
Modalità dell’accesso (in bollettino n. 4 pagg. 33, 34)
Forze di Polizia
C.e.d. del Dipartimento di P.s.
In generale (in bollettino n. 2 pag. 54, in bollettino n. 5 pag. 22, in bollettino n. 6 pag. 41)
Garante per la protezione dei dati personali
In generale (in bollettino n. 1 pag. 63, in bollettino 2 pag. 28, 63, in bollettino n. 3 pagg. 34,
37, in bollettino n. 4 pagg. 35, 39, 43, 44, in bollettino n. 9 pag. 11), in bollettino n. 5 pag. 22, in
bollettino n. 6 pag. 42, in bollettino n. 7 pag. 15, in bollettino n. 8 pag. 16)
Giornalisti
Codice di deontologia e di buona condotta (in bollettino n. 1 pag. 61, in bollettino n. 2 pag. 9,
in bollettino n. 3 pag. 14, in bollettino n. 5 pagg. 27, 74)
Diritto di cronaca In generale (in bollettino n. 5 pag. 29, in bollettino n. 6 pag. 80) - Limiti a
tutela della riservatezza (in bollettino n. 1 pagg. 22, 23)
Professione giornalistica - In generale (in bollettino n. 4 pag. 45, in bollettino n. 5 pag. 32)
Soggetti equiparati (in bollettino n. 7 pag. 30)
Autorizzazioni (in bollettino n. 1 pag. 29)
Notificazione - Titolare del trattamento (in bollettino n. 4 pag. 50)
Informazioni all’interessato
In generale (in bollettino n. 1 pagg. 17, 21, in bollettino n. 2 pagg. 13, 19, 21, 25, in bollettino 3 pag. 51, in bollettino n. 5 pag. 33, in bollettino n. 6 pag. 81, in bollettino n. 7 pag. 31)
Particolari modalità per l’informativa - In generale (in bollettino n. 1 pag. 26)
Istituti di credito
In generale (in bollettino n. 1 pag. 17, in bollettino 3 pag. 16, in bollettino n. 5 pag. 35, in bollettino n. 6 pag. 85)
Responsabile del trattamento (in bollettino n. 5 pag. 35)
Istituti Scolastici e Università (in bollettino n. 1 pag. 37, in bollettino n. 2 pag. 48, in bollettino
n. 5 pag. 50)
Notificazione
In generale (in bollettino n. 2 pagg. 8, 151, in bollettino n. 5 pag. 36)
Semplificata - In generale (in bollettino n. 4 pag. 54)
Tramite rappresentanze di categoria (in bollettino n. 4 pagg. 55, 56, 57)
Registro dei trattamenti
In generale (in bollettino n. 9 pag. 32)
210
Sommario
Responsabile del trattamento
Enti ed organismi (in bollettino n. 2 pagg. 44, 46 e 59)
Ricerche storiche e statistiche (in bollettino n. 1 pag. 47, in bollettino n. 3 pag. 29)
Ricorsi
Decisioni del Garante (in bollettino n. 2 pagg. 69-74, in bollettino 6 pag. 87, in bollettino n. 7
pag. 33, in bollettino n. 8 pag. 26, in bollettino n. 9 pag. 34)
AIDS (in bollettino n. 5 pag. 40)
Sicurezza dei dati e dei sistemi (in bollettino n. 5 pag. 42)
Sanità
In generale (in bollettino n. 1 pag. 33, in bollettino n. 3 pag. 51)
Sicurezza dei dati e dei sistemi
In generale (in bollettino n. 2, pag. 51, in bollettino n. 4 pag. 58, in bollettino n. 6 pag. 106)
Telecomunicazioni (in bollettino n. 3 pag. 10, in bollettino n. 6 pag. 107)
Titolare del trattamento
In generale (in bollettino n. 4 pag. 60)
Privati ed enti pubblici economici in bollettino n. 2 pag. 44, 46)
Trasferimento di dati all’estero
In generale (in bollettino n. 1 pag. 42, in bollettino n. 2 pag. 56, in bollettino n. 3 pag. 44)
Trattamento dei dati personali - In generale (in bollettino n. 6 pag. 116)
Soggetti Pubblici (in bollettino n. 2 pagg. 42, 64) - In generale (in bollettino n. 3 pag. 7, 3O, 31,
42, in bollettino n. 4 pagg. 42, 64; in bollettino n. 5 pagg. 46, 48, 54, in bollettino n. 6 pag. 132, in
bollettino n. 7 pag. 51, in bollettino n. 9 pag. 61) - Comunicazione e diffusione (in bollettino n. 1 pagg.
31, 32, 62 in bollettino n. 2 pag. 29, 32, in bollettino n. 3 pagg. 21, 24, 28, 38, 40 e 49, in bollettino n. 4 pag. 65, 68, 69, 70, 71, 72, 73, in bollettino n. 6 pag. 137, in bollettino n. 7 pag. 53, in bollettino n. 8 pagg. 50)
Diritti della personalità e libertà fondamentali (in bollettino n. 8 pag. 49)
Privati ed enti pubblici economici (in bollettino n. 6 pag. 119, in bollettino n. 8 pag. 56, in bollettino n. 9 pag. 57)
Responsabile del trattamento - In generale (in bollettino n. 5 pag. 54)
Titolare del trattamento - In generale (in bollettino n. 5 pag. 54)
Consenso (in bollettino n. 6 pag. 126)
Videosorveglianza (in bollettino n. 2 pag. 57, in bollettino n. 4 pag. 74, in bollettino n. 6 pag. 145,
in bollettino n. 8 pag. 57).
Normativa
Testo della legge n. 675/1996, aggiornato con i decreti legislativi n. 123 del 9 maggio 1997, e
con il n. 255 del 28 luglio 1997, e testo della legge n. 676/1996 (in bollettino n. 1 pag. 65)
Testo della legge n. 675/1996, aggiornato con i decreti legislativi n. 123 del 9 maggio 1997,
n. 255 del 28 luglio 1997, n. 135 dell’8 maggio 1998 e n. 171 del 13 maggio 1998 (in bollettino n. 4 pag. 93)
Testo dei decreti legislativi n. 135 dell’8 maggio 1998 e n. 171 del 13 maggio 1998 (in bollettino n. 4 pag. 109)
Testo del decreto del Presidente del Consiglio dei Ministri 29 aprile 1998, pubblicato sulla Gazzetta Ufficiale n. 165 del 17 luglio 1998 “Modificazione dell’articolazione delle qualifiche funzionali
del contingente del personale addetto all’ufficio del Garante per la protezione dei dati personali, (in
bollettino 5 pag. 73).
211
Sommario
Codice deontologico relativo al trattamento dei dati personali nell’esercizio dell’attività giornalistica ai sensi dell’art. 25 della legge 31 dicembre 1996, n. 675, pubblicato in Gazzetta Ufficiale
n. 179 del 3 agosto 1998 (in bollettino 5 pag. 74).
Codice etico dell’ufficio del Garante per la protezione dei dati personali (in bollettino 5 pag. 76).
Legge 6 ottobre 1998, n. 344 (in bollettino n. 6 pag. 191).
Decreto legislativo 6 novembre 1998, n. 389 (in bollettino n. 6 pag. 191).
Decreto del Presidente della Repubblica 31 marzo 1998, n. 501: «Regolamento recante norme
per l’organizzazione ed il funzionamento dell’Ufficio del Garante per la protezione dei dati personali,
a norma dell’art. 33, comma 3, della legge 31 dicembre 1996, n. 675» (in bollettino 7 pag. 73)
Decreto legislativo 26 febbraio 1999, n. 51 «Disposizioni integrative e correttive della leggge
31 dicembre 1996, n. 675 concernenti il personale dell’ufficio del Garante per la protezione dei dati
personali» (in bollettino 7 pag. 83)
Decreto legislativo 11 maggio 1999, n. 135: «Disposizioni Integrative della legge 31 dicembre 1996, n. 67, sul trattamento di dati sensibili da parte dei soggetti pubblici» (Gazzetta Ufficiale
del 17 maggio 199, n. 113, in bollettino n. 8 pag. 107)
Provvedimento del Garante per la Protezione dei Dati Personali 10 maggio 1999: «Autorizzazione al trattamento di dati a carattere giudiziario da parte di privati e di enti pubblici economici»
(Gazzetta Ufficiale del 14 maggio 1999, n. 111, in bollettino n. 8 pag. 113)
Integrazione autorizzazione trattamento dati a carattere giudiziario (Gazzetta Ufficialen 14 del
25 giugno 1999, in bollettino n. 8 pag. 116)
Legge n. 675 del 31 dicembre 1996: «Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali» (in bollettino n. 9 pag. 153)
Decreto legislativo 11 maggio 1999, n. 135: «Disposizioni integrative della legge 31 dicembre
1996, n. 675, sul trattamento di dati sensibili da parte dei soggetti pubblici» testo aggiornato (in
bollettino n. 9 pag. 178)
Decreto legislativo 30 luglio 1999, n. 281: «Disposizioni in materia di trattamento di dati
personali per finalità storiche, statistiche e di ricerca (in bollettino n. 9 pag. 188)
Decreto legislativo 30 luglio 1999, n. 282: «Disposizioni per garantire la riservatezza dei dati
personali in ambito sanitario» (in bollettino n. 9 pag. 197)
Decreto del Presidente della Repubblica 28 luglio 1999, n. 318: «Regolamento recante norme
per l’individuazione delle misure di sicurezza per il trattamento dei dati personali, a norma
dell’art. 15, comma 2, della legge 31 dicembre 1996, n. 675» (in bollettino n. 9 pag. 201)
212
Garante per la protezione
dei dati personali
Redazione
CITTADINI E SOCIETÀ DELL’INFORMAZIONE
Anno III - Bollettino n. 9 - giugno/luglio/agosto/settembre 1999
Garante per la protezione dei dati personali
Largo del Teatro Valle, 6
00186 - Roma
Tel. 06/681861
Fax 06/6818650
Pubblicazione della
Presidenza del Consiglio dei Ministri
Dipartimento per l’informazione
e l’editoria
Via Po, 14 - 00198 Roma - Tel. 06/85981
VITA ITALIANA - SCHEDE
Direttore responsabile
Coordinamento editoriale
Progetto e realizzazione grafica
Stampa e distribuzione
Registrazione
Direttore: Mauro Masi
Mirella Boncompagni
Laura Musumeci
Ufficio grafico dell’Istituto Poligrafico e Zecca dello
Stato presso il Dipartimento per l’informazione e
l’editoria
Istituto Poligrafico e Zecca dello Stato - Salario
Tribunale di Roma n. 298/88
