GARANTE PER LAPROTEZIONE DEI DATI PERSONALI PROVVEDIMENTO 21dicembre 2005 (Autorizzazione n.3/2005 – pubblicata sulla G.U. n.2 del 3/1/2006).
IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI
In data odierna, con la partecipazione del prof.Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti, e del dott. Giovanni Buttarelli, segretario generale; Visto il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali; Visto, in particolare, l'art. 4, comma 1, lett.d), del citato Codice, il quale individua i dati sensibili; Considerato che, ai sensi dell'art. 26, comma 1,del Codice, i soggetti privati e gli enti pubblici economici possono trattare idati sensibili solo previa autorizzazione di questa Autorità e, ove necessario,con il consenso scritto degli interessati, nell'osservanza dei presupposti edei limiti stabiliti dal Codice, nonchŽ dalla legge e dai regolamenti; Visto altresì il comma 4, lett. a), del citatoart. 26, il quale stabilisce che i dati sensibili possono essere oggetto ditrattamento anche senza consenso, previa autorizzazione del Garante, Çquando iltrattamento è effettuato da associazioni, enti ed organismi senza scopo dilucro, anche non riconosciuti, a carattere politico, filosofico, religioso osindacale, ivi compresi partiti e movimenti politici, per il perseguimento discopi determinanti e legittimi individuati dall'atto costitutivo, dallo statutoo dal contratto collettivo, relativamente ai dati personali degli aderenti odei soggetti che in relazione a tali finalità hanno contatti regolari conl'associazione, ente od organismo, sempre che i dati non siano comunicatiall'esterno o diffusi e l'ente, associazione od organismo determini idoneegaranzie relativamente ai trattamenti effettuati, prevedendo espressamente lemodalità di utilizzo dei dati con determinazione resa nota agli interessatiall'atto dell'informativa ai sensi dell'articolo 13È; Visto il comma 3, lettere a) e b), del predettoart. 26, il quale stabilisce che la disciplina di cui al relativo comma 1 nonsi applica al trattamento: a) dei dati relativi agli aderenti alle confessionireligiose e ai soggetti che con riferimento a finalità di natura esclusivamentereligiosa hanno contatti regolari con le medesime confessioni, effettuato dairelativi organi, ovvero da enti civilmente riconosciuti, sempre che i dati nonsiano diffusi o comunicati fuori delle medesime confessioni; b) dei datiriguardanti l'adesione di associazioni od organizzazioni a carattere sindacaleo di categoria ad altre associazioni, organizzazioni o confederazioni acarattere sindacale o di categoria; Rilevato che le confessioni di cui alla letteraa) devono determinare, ai sensi del medesimo art. 26, comma 3, lett. a), idoneegaranzie relativamente ai trattamenti effettuati, nel rispetto dei principi indicatial riguardo con autorizzazione del Garante; Visto l'art. 181, comma 6, del Codice secondocui le confessioni religiose che, prima dell'adozione del medesimo Codice,abbiano determinato e adottato nell'ambito del rispettivo ordinamento legaranzie di cui al predetto art. 26, comma 3, lett. a), possono proseguirel'attività di trattamento nel rispetto delle medesime; Considerato che il trattamento dei dati inquestione può essere autorizzato dal Garante anche d'ufficio con provvedimentidi carattere generale, relativi a determinate categorie di titolari o ditrattamenti (art. 40 del Codice); Considerato che le autorizzazioni di caratteregenerale sinora rilasciate sono risultate uno strumento idoneo per prescriveremisure uniformi a garanzia degli interessati, rendendo altresì superflua larichiesta di singoli provvedimenti di autorizzazione da parte di numerosititolari del trattamento; Ritenuto opportuno rilasciare nuoveautorizzazioni in sostituzione di quelle in scadenza il 31 dicembre 2005,armonizzando le prescrizioni già impartite alla luce dell'esperienza maturata; Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato, ai sensi dall'art. 41,comma 5, del Codice e, in particolare, efficaci per il periodo di diciottomesi; Considerata la necessità di garantire ilrispetto di alcuni principi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertàfondamentali, nonchŽ per la dignità delle persone, e in particolare, per ildiritto alla protezione dei dati personali sancito all'art. 1 del Codice; Considerato che un elevato numero di trattamentidi dati sensibili è effettuato da enti ed organizzazioni di tipo associativo eda fondazioni, per la realizzazione di scopi determinati e legittimiindividuati dall'atto costitutivo, dallo statuto o da un contratto collettivo; Visto l'art. 167 del Codice; Visto l'art. 11, comma 2, del Codice, il qualestabilisce che i dati trattati in violazione della disciplina rilevante inmateria di trattamento di dati personali non possono essere utilizzati; Visti gli articoli 31 e seguenti del Codice e ildisciplinare tecnico di cui all'Allegato B) al medesimo Codice, recanti norme eregole sulle misure di sicurezza; Visto l'art. 41 del Codice; Visti gli atti d'ufficio; Viste le osservazioni dell'Ufficio formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000; Relatore il dott. Mauro Paissan; Autorizza
il trattamento dei dati sensibili di cui art. 4,comma 1, lett. d), del Codice da parte di associazioni, fondazioni, comitati edaltri organismi di tipo associativo, secondo le prescrizioni di seguitoindicate. Prima di iniziare o proseguire il trattamento isistemi informativi e i programmi informatici sono configurati riducendo alminimo l'utilizzazione di dati personali e di dati identificativi, in modo daescluderne il trattamento quando le finalità perseguite nei singoli casipossono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalità che permettano di identificare l'interessato solo in caso dinecessità, in conformità all'art. 3 del Codice.
1) Ambito di applicazione La presente autorizzazione è rilasciata: a) alleassociazioni anche non riconosciute, ai partiti e ai movimenti politici, alleassociazioni e alle organizzazioni sindacali, ai patronati e alle associazionidi categoria, alle casse di previdenza, alle organizzazioni assistenziali o divolontariato, nonchŽ alle federazioni e confederazioni nelle quali talisoggetti sono riuniti in conformità, ove esistenti, allo statuto, all'attocostitutivo o ad un contratto collettivo; b) allefondazioni, ai comitati e ad ogni altro ente, consorzio od organismo senzascopo di lucro, dotati o meno di personalità giuridica, ivi comprese leorganizzazioni non lucrative di utilità sociale (Onlus); c) allecooperative sociali e alle società di mutuo soccorso di cui, rispettivamente,alle leggi 8 novembre 1991, n. 381 e 15 aprile 1886, n. 3818. L'autorizzazione è rilasciata altresì agliistituti scolastici anche di tipo non associativo, limitatamente al trattamentodei dati idonei a rivelare le convinzioni religiose e per le operazionistrettamente necessarie per l'applicazione dell'articolo 310 del decreto legislativo16 aprile 1994, n. 297 e degli artt. 3 e 10 del decreto legislativo 19 febbraio2004, n. 59. Resta fermo l'obbligo per le confessionireligiose di determinare, ai sensi dell'art. 26, comma 3, lett. a) del Codice,idonee garanzie relativamente ai trattamenti effettuati nel rispetto deiprincipi indicati con la presente autorizzazione. Ai sensi dell'art. 181, comma 6, del Codice, leconfessioni religiose che, prima dell'adozione del medesimo Codice, abbianodeterminato e adottato nell'ambito del rispettivo ordinamento le garanzie dicui all'art. 26, comma 3, lett. a), del Codice possono proseguire l'attività ditrattamento effettuato dai relativi organi, ovvero da enti civilmentericonosciuti, nel rispetto delle medesime..
2) Finalità del trattamento L'autorizzazione è rilasciata per ilperseguimento di scopi determinati e legittimi individuati dall'attocostitutivo, dallo statuto o dal contratto collettivo, ove esistenti, e inparticolare per il perseguimento di finalità culturali, religiose, politiche, sindacali,sportive o agonistiche di tipo non professionistico, di istruzione anche conriguardo alla libertà di scelta dell'insegnamento religioso, di formazione, diricerca scientifica, di patrocinio, di tutela dell'ambiente e delle cosed'interesse artistico e storico, di salvaguardia dei diritti civili, nonchŽ dibeneficenza, assistenza sociale o socio-sanitaria. La presente autorizzazione è rilasciata,altresì, per far valere o difendere un diritto anche da parte di un terzo insede giudiziaria, nonchŽ in sede amministrativa o nelle procedure di arbitratoe di conciliazione nei casi previsti dalla normativa comunitaria, dalle leggi,dai regolamenti o dai contratti collettivi. La presente autorizzazione è rilasciata perl'esercizio del diritto di accesso ai documenti amministrativi, nei limiti diquanto stabilito dalle leggi e dai regolamenti in materia. Per i fini predetti, il trattamento dei datisensibili può riguardare anche la tenuta di registri e scritture contabili, dielenchi, di indirizzari e di altri documenti necessari per la gestioneamministrativa dell'associazione, della fondazione, del comitato o del diversoorganismo, o per l'adempimento di obblighi fiscali, ovvero per la diffusione diriviste, bollettini e simili. Qualora i soggetti di cui alle lettere a), b) ec) si avvalgano di persone giuridiche o di altri organismi con scopo di lucro odi liberi professionisti per perseguire le predette finalità, ovvero richiedanoad essi la fornitura di beni, prestazioni o servizi, la presente autorizzazioneè rilasciata anche ai medesimi organismi, persone giuridiche o liberiprofessionisti. I soggetti di cui alle lettere a), b) e c)possono comunicare alle persone giuridiche e agli organismi con scopo di lucrotitolari di un autonomo trattamento, i soli dati sensibili strettamenteindispensabili per le attività di effettivo ausilio alle predette finalità, conparticolare riferimento alle generalità degli interessati e ad indirizzari,sulla base di un atto scritto che individui con precisione le informazionicomunicate, le modalità del successivo utilizzo, le particolari misure disicurezza, nonchŽ, ove previsto, le idonee garanzie determinate. Ladichiarazione scritta di consenso degli interessati deve porre tale circostanzain particolare evidenza e deve recare la precisa menzione dei titolari deltrattamento e delle finalità da essi perseguite. Le persone giuridiche e gliorganismi con scopo di lucro, oltre a quanto previsto nei punti 4) e 6) in temadi pertinenza, non eccedenza e indispensabilità dei dati, possono trattare idati così acquisiti solo per scopi di ausilio alle finalità predette, ovveroper scopi amministrativi e contabili.
3) Interessati ai quali i dati si riferiscono Il trattamento può riguardare i dati sensibiliattinenti: a) agliassociati, ai soci e, se strettamente indispensabile per il perseguimento dellefinalità di cui al punto 1), ai relativi familiari e conviventi; b) agliaderenti, ai sostenitori o sottoscrittori, nonchŽ ai soggetti che presentanorichiesta di ammissione o di adesione o che hanno contatti regolari conl'associazione, la fondazione o il diverso organismo; c) aisoggetti che ricoprono cariche sociali o onorifiche; d) aibeneficiari, agli assistiti e ai fruitori delle attività o dei servizi prestatidall'associazione o dal diverso organismo, limitatamente ai soggettiindividuabili in base allo statuto o all'atto costitutivo, ove esistenti, ocomunque a coloro nell'interesse dei quali i soggetti menzionati al punto 1)possono operare in base ad una previsione normativa; e) aglistudenti iscritti o che hanno presentato domanda di iscrizione agli istituti dicui al punto 1) e, qualora si tratti di minori, ai loro genitori o a chi neesercita la potestà; f) ailavoratori dipendenti degli associati e dei soci, limitatamente ai dati idoneia rivelare l'adesione a sindacati, associazioni od organizzazioni a caratteresindacale e alle operazioni necessarie per adempiere a specifici obblighiderivanti da contratti collettivi anche aziendali.
4) Categorie di dati oggetto di trattamento L'autorizzazione non riguarda i dati idonei arivelare lo stato di salute e la vita sessuale, ai quali si riferiscel'autorizzazione generale n. 2/2005. Il trattamento può avere per oggetto gli altridati sensibili di cui all'articolo 4, comma 1, lett. d) del Codice, idonei arivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche odi altro genere, le opinioni politiche, l'adesione a partiti, sindacati,associazioni od organizzazioni a carattere religioso, filosofico, politico osindacale. Il trattamento può riguardare i dati e leoperazioni indispensabili per perseguire le finalità di cui al punto 1) o,comunque, per adempiere ad obblighi derivanti dalla legge, dalla normativacomunitaria, dai regolamenti o dai contratti collettivi, che non possano essereperseguiti o adempiuti, caso per caso, mediante il trattamento di dati anonimio di dati personali di natura diversa. A tal fine, anche mediante controlli periodici,deve essere verificata costantemente la stretta pertinenza, non eccedenza eindispensabilità dei dati rispetto ai predetti obblighi e finalità, inparticolare per quanto riguarda i dati che rivelano le opinioni e le intimeconvinzioni, anche con riferimento ai dati che l'interessato fornisce dipropria iniziativa. I dati che, anche a seguito delle verifiche, risultanoeccedenti o non pertinenti o non indispensabili non possono essere utilizzati,salvo per l'eventuale conservazione, a norma di legge, dell'atto o deldocumento che li contiene.
5) Modalità di trattamento Fermi restando gli obblighi previsti dagliarticoli 11 e 14 del Codice, e dagli articoli 31 e seguenti del Codice edall'allegato B) al medesimo Codice, il trattamento dei dati sensibili deveessere effettuato unicamente con operazioni, nonchŽ con logiche e medianteforme di organizzazione dei dati strettamente indispensabili in rapporto allefinalità, agli scopi e agli obblighi di cui al punto 2). I dati sono raccolti, di regola, pressol'interessato. Fermo restando quanto previsto ai punti 2) e 7)della presente autorizzazione, se è indispensabile, in conformità al medesimopunto 7), comunicare o diffondere dati all'esterno dell'associazione, dellafondazione, del comitato o del diverso organismo, il consenso scritto èacquisito previa idonea informativa resa agli interessati ai sensi dell'art. 13del Codice, la quale deve precisare le specifiche modalità di utilizzo dei datitenuto conto delle idonee garanzie adottate relativamente ai trattamentieffettuati.
6) Conservazione dei dati Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lett. e) del Codice, i dati sensibili possono essereconservati per un periodo non superiore a quello necessario per perseguire lefinalità e gli scopi di cui al punto 2), ovvero per adempiere agli obblighi ivimenzionati. Le verifiche di cui al punto 4) devonoriguardare anche la pertinenza, non eccedenza e indispensabilità dei datirispetto all'attività svolta dall'interessato o al rapporto che intercorre tral'interessato e i soggetti di cui al punto 1), tenendo presente il genere diprestazione, di beneficio o di servizio offerto all'interessato e la posizionedi quest'ultimo rispetto ai soggetti stessi.
7) Comunicazione e diffusione dei dati I dati sensibili possono essere comunicati asoggetti pubblici o privati, e ove necessario diffusi, solo se strettamentepertinenti alle finalità, agli scopi e agli obblighi di cui al punto 2) etenendo presenti le altre prescrizioni sopraindicate. I dati sensibili possono essere comunicati alleautorità competenti se necessario per finalità di prevenzione, accertamento orepressione dei reati, con l'osservanza delle norme che regolano la materia. I dati relativi allo stato di salute e alla vitasessuale non possono essere diffusi.
8) Richieste di autorizzazione I titolari dei trattamenti che rientranonell'ambito di applicazione della presente autorizzazione non sono tenuti apresentare una richiesta di autorizzazione a questa Autorità, qualora iltrattamento che si intende effettuare sia conforme alle prescrizioni suddette. Le richieste di autorizzazione pervenute o cheperverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo. Il Garante non prenderà in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformità alleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art. 41 delCodice, il loro accoglimento sia giustificato da circostanze del tuttoparticolari o da situazioni eccezionali non considerate nella presenteautorizzazione.
9) Norme finali Restano fermi gli obblighi previsti dallanormativa comunitaria, da norme di legge o di regolamento che stabilisconodivieti o limiti in materia di trattamento di dati personali. Restano inoltre ferme le norme volte a prevenirediscriminazioni, e in particolare le disposizioni contenute nel decreto-legge26 aprile 1993, n. 122, convertito, con modificazioni, dalla legge 25 giugno1993, n. 205, in materia di discriminazione per motivi razziali, etnici,nazionali o religiosi e di delitti di genocidio, nel decreto legislativo 9luglio 2003, n. 215 di attuazione della direttiva 2000/43/CE per la parità ditrattamento tra le persone indipendentemente dalla razza e dall'origine etnicae nel decreto legislativo 9 luglio 2003, n. 216, di attuazione della direttiva2000/78/CE per la parità di trattamento in materia di occupazione e dicondizioni di lavoro.
10) Efficacia temporale e disciplinatransitoria La presente autorizzazione ha efficacia adecorrere dal 1¡ gennaio 2006 fino al 30 giugno 2007, salve eventuali modificheche il Garante ritenga di dover apportare in conseguenza di eventuali novitànormative rilevanti in materia. La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana. Roma, 21 dicembre 2005 IL PRESIDENTE IL RELATORE IL SEGRETARIO GENERALE |