Autorizzazione n.6/2008 al trattamento dei dati sensibili da parte degli investigatori privati
(Pubblicata sulla G.U. n. 169 del 21-7-2008 - Suppl. Ordinario n. 175)

Registro delledeliberazioni n. 37 del 19  giugno 2008

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazionedel prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti, e del dott. Giovanni Buttarelli, segretario generale;

Visto il decreto legislativo 30 giugno2003, n. 196, recante il Codice in materia di protezione dei dati personali;

Visto, in particolare, l'art. 4, comma 1,lett. d), del citato Codice, il quale individua i dati sensibili;

Considerato che, ai sensi dell'art. 26,comma 1, del Codice, i soggetti privati e gli enti pubblici economici possonotrattare i dati sensibili solo previa autorizzazione di questa Autorità e, ovenecessario, con il consenso scritto degli interessati, nell'osservanza deipresupposti e dei limiti stabiliti dal Codice, nonché dalla legge e dai regolamenti;

Visto il comma 4, lett. c), del medesimoart. 26, il quale stabilisce che i dati sensibili possono essere oggetto ditrattamento anche senza consenso, previa autorizzazione del Garante, quando iltrattamento medesimo è necessario per svolgere una investigazione difensiva aisensi della legge 7 dicembre 2000, n. 397 o, comunque, per far valere odifendere in sede giudiziaria un diritto, sempre che i dati siano trattatiesclusivamente per tali finalità e per il periodo strettamente necessario al loroperseguimento, e che, quando i dati siano idonei a rivelare lo stato di salutee la vita sessuale dell'interessato il diritto sia di rango pari a quellodell'interessato, ovvero consista in un diritto della personalità o in un altrodiritto o libertà fondamentale inviolabile;

Considerato che il trattamento dei datiin questione può essere autorizzato dal Garante anche d'ufficio conprovvedimenti di carattere generale, relativi a determinate categorie dititolari o di trattamenti (art. 40 del Codice);

Considerato che le autorizzazioni dicarattere generale sinora rilasciate sono risultate uno strumento idoneo perprescrivere misure uniformi a garanzia degli interessati, rendendo altresìsuperflua la richiesta di singoli provvedimenti di autorizzazione da parte dinumerosi titolari del trattamento;

Ritenuto opportuno rilasciare nuoveautorizzazioni in sostituzione di quelle in scadenza il 30 giugno 2008,armonizzando le prescrizioni già impartite alla luce dell'esperienza maturata;

Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato, ai sensi dell'art. 41,comma 5, del Codice, e, in particolare, efficaci per il periodo di diciottomesi;

Considerata la necessità di garantire ilrispetto di alcuni princìpi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertàfondamentali, nonché per la dignità delle persone, e, in particolare, per ildiritto alla protezione dei dati personali sancito dall'art. 1 del Codice;

Considerato che il Garante ha rilasciatoun'autorizzazione di ordine generale relativa ai dati idonei a rivelare lostato di salute e la vita sessuale (n. 2/2008), anche in riferimento allepredette finalità di ordine giudiziario;

Considerato che numerosi trattamentiaventi tali finalità sono effettuati con l'ausilio di investigatori privati, eche è pertanto opportuno integrare anche le prescrizioni dell'autorizzazione n.2/2008 mediante un ulteriore provvedimento di ordine generale che tenga contodello specifico contesto dell'investigazione privata, anche al fine diarmonizzare le prescrizioni da impartire alla categoria;

Considerato che ulteriori misure edaccorgimenti saranno prescritti dal Garante all'atto della sottoscrizione delcitato codice di deontologia e di buona condotta in via di emanazione (art. 12del Codice);

Visto l'art. 167 del Codice;

Visto l'art. 11, comma 2, del Codice, ilquale stabilisce che i dati trattati in violazione della disciplina rilevantein materia di trattamento di dati personali non possono essere utilizzati;

Visti gli articoli 31 e seguenti delCodice e il disciplinare tecnico di cui all'Allegato B) al medesimo Codicerecanti norme e regole sulle misure di sicurezza;

Visti gli articoli 42 e seguenti delCodice in materia di trasferimento di dati personali all'estero;

Visto l'art. 41 del Codice;

Visti gli atti d'ufficio;

Viste le osservazioni dell'Ufficioformulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante n. 1/2000;

Relatore il dott. Giuseppe Fortunato;

Autorizza

gli investigatori privati a trattare idati sensibili di cui all'art. 4, comma 1, lett. d), del Codice, secondo leprescrizioni di seguito indicate.

Prima di iniziare o proseguire iltrattamento i sistemi informativi e i programmi informatici sono configuratiriducendo al minimo l'utilizzazione di dati personali e di dati identificativi,in modo da escluderne il trattamento quando le finalità perseguite nei singolicasi possono essere realizzate mediante, rispettivamente, dati anonimi odopportune modalità che permettano di identificare l'interessato solo in caso dinecessità, in conformità all'art. 3 del Codice.

1) Ambito di applicazione La presente autorizzazione è rilasciata, anche senzarichiesta, alle persone fisiche e giuridiche, agli istituti, agli enti, alleassociazioni e agli organismi che esercitano un'attività di investigazioneprivata autorizzata con licenza prefettizia (art. 134 del regio decreto 18giugno 1931, n. 773, e successive modificazioni e integrazioni).

2) Finalità del trattamento Il trattamento può essere effettuato unicamente perl'espletamento dell'incarico ricevuto dai soggetti di cui al punto 1) e inparticolare:

a) per permettere a chi conferisceuno specifico incarico di far valere o difendere in sede giudiziaria un propriodiritto, che, quando i dati siano idonei a rivelare lo stato di salute e lavita sessuale dell'interessato, deve essere di rango pari a quello del soggettoal quale si riferiscono i dati, ovvero consistente in un diritto dellapersonalità o in un altro diritto o libertà fondamentale ed inviolabile;

b) su incarico di un difensore inriferimento ad un procedimento penale, per ricercare e individuare elementi afavore del relativo assistito da utilizzare ai soli fini dell'esercizio deldiritto alla prova (art. 190 del codice di procedura penale e legge 7 dicembre2000, n. 397).

Restano ferme le altre autorizzazionigenerali rilasciate ai fini dello svolgimento delle investigazioni in relazionead un procedimento penale o per l'esercizio di un diritto in sede giudiziaria,in particolare:

a) nell'ambito dei rapporti dilavoro (autorizzazione n. 1/2008);

b) relativamente ai dati idonei arivelare lo stato di salute e la vita sessuale (autorizzazione n. 2/2008);

c) da parte degli organismi di tipoassociativo e delle fondazioni (autorizzazione n. 3/2008);

d) da parte dei liberiprofessionisti iscritti in albi o elenchi professionali, ivi inclusi i difensorie i relativi sostituti ed ausiliari (autorizzazione n. 4/2008);

e) relativamente ai dati dicarattere giudiziario (autorizzazione n. 7/2008).

3) Categorie di dati e interessati aiquali i dati si riferiscono Iltrattamento può riguardare i dati sensibili di cui all'art. 4, comma 1, lett.d) del Codice, qualora ciò sia strettamente indispensabile per eseguirespecifici incarichi conferiti per scopi determinati e legittimi nell'ambitodelle finalità di cui al punto 1), che non possano essere adempiute mediante iltrattamento di dati anonimi o di dati personali di natura diversa.

I dati devono essere pertinenti e noneccedenti rispetto agli incarichi conferiti.

4) Modalità di trattamento Gli investigatori privati non possono intraprenderedi propria iniziativa investigazioni, ricerche o altre forme di raccolta didati. Tali attività possono essere eseguite esclusivamente sulla base di unapposito incarico conferito per iscritto, anche da un difensore, per le esclusivefinalità di cui al punto 2).

L'atto di incarico deve menzionare inmaniera specifica il diritto che si intende esercitare in sede giudiziaria,ovvero il procedimento penale al quale l'investigazione è collegata, nonché iprincipali elementi di fatto che giustificano l'investigazione e il termineragionevole entro cui questa deve essere conclusa.

Fermi restando gli obblighi previstidagli articoli 11 e 14 del Codice, nonché dagli articoli 31 e seguenti delCodice e dall'Allegato B) al medesimo Codice, il trattamento dei dati sensibilideve essere effettuato unicamente con operazioni, nonché con logiche e medianteforme di organizzazione dei dati strettamente indispensabili in rapporto allefinalità di cui al punto 2).

L'interessato o la persona presso laquale sono raccolti i dati deve essere informata ai sensi dell'art. 13 delCodice, ponendo in particolare evidenza l'identità e la qualità professionaledell'investigatore, nonché la natura facoltativa del conferimento dei dati.

Nel caso in cui i dati sono raccoltipresso terzi, è necessario informare l'interessato e acquisire il suo consensoscritto (art. 13, commi 1, 4 e 5 e art. 26, comma 4, del Codice), solo se idati sono trattati per un periodo superiore a quello strettamente necessarioper esercitare il diritto in sede giudiziaria o per svolgere le investigazionidifensive, oppure se i dati sono utilizzati per ulteriori finalità nonincompatibili con quelle precedentemente perseguite.

Il difensore o il soggetto che haconferito l'incarico devono essere informati periodicamente dell'andamentodell'investigazione, anche al fine di permettere loro una valutazionetempestiva circa le determinazioni da adottare riguardo all'esercizio deldiritto in sede giudiziaria o al diritto alla prova.

L'investigatore privato deve eseguirepersonalmente l'incarico ricevuto e non può avvalersi di altri investigatorinon indicati nominativamente all'atto del conferimento dell'incarico.

Nel caso in cui si avvalga dicollaboratori interni designati quali responsabili o incaricati del trattamentoin conformità a quanto previsto dagli articoli 29 e 30 del Codice,l'investigatore privato deve vigilare con cadenza almeno settimanale sullapuntuale osservanza delle norme di legge e delle istruzioni impartite. Talisoggetti possono avere accesso ai soli dati strettamente pertinenti allacollaborazione ad essi richiesta.

Per quanto non previsto nella presenteautorizzazione, il trattamento dei dati idonei a rivelare lo stato di salute ela vita sessuale deve essere effettuato nel rispetto delle ulterioriprescrizioni contenute nell'autorizzazione generale n. 2/2008 e, per ciò cheriguarda le informazioni relative ai dati genetici, nel rispettodell'autorizzazione del 22 febbraio 2007, pubblicata nella Gazzetta Ufficialen. 65 del 19 marzo 2007.

Il trattamento dei dati deve inoltrerispettare le prescrizioni del codice di deontologia e di buona condotta di cuiall'articolo 135 del Codice in via di definizione.

5) Conservazione dei dati Nel quadro del rispetto dell'obbligo previsto dall'art.11, comma 1, lett. e), del Codice i dati sensibili possono essere conservatiper un periodo non superiore a quello strettamente necessario per eseguirel'incarico ricevuto.

A tal fine deve essere verificatacostantemente, anche mediante controlli periodici, la stretta pertinenza, noneccedenza e indispensabilità dei dati rispetto alle finalità perseguite eall'incarico conferito.

Una volta conclusa la specifica attivitàinvestigativa, il trattamento deve cessare in ogni sua forma, fatta eccezione perl'immediata comunicazione al difensore o al soggetto che ha conferitol'incarico.

La mera pendenza del procedimento alquale l'investigazione è collegata, ovvero il passaggio ad altre fasi digiudizio in attesa della formazione del giudicato, non costituiscono, di per sestessi, una giustificazione valida per la conservazione dei dati da partedell'investigatore privato.

6) Comunicazione e diffusione dei dati I dati possono essere comunicati unicamente alsoggetto che ha conferito l'incarico.

I dati non possono essere comunicati adun altro investigatore privato, salvo che questi sia stato indicatonominativamente nell'atto di incarico e la comunicazione sia necessaria per losvolgimento dei compiti affidati.

I dati idonei a rivelare lo stato disalute possono essere comunicati alle autorità competenti solo se è necessarioper finalità di prevenzione, accertamento o repressione dei reati, conl'osservanza delle norme che regolano la materia.

I dati relativi allo stato di salute ealla vita sessuale non possono essere diffusi.

7) Richieste di autorizzazione I titolari dei trattamenti che rientrano nell'ambitodi applicazione della presente autorizzazione non sono tenuti a presentare unarichiesta di autorizzazione a questa Autorità, qualora il trattamento che siintende effettuare sia conforme alle prescrizioni suddette.

Le richieste di autorizzazione pervenuteo che perverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo.

Il Garante non prenderà in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformità alleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art. 41 delCodice, il loro accoglimento sia giustificato da circostanze del tuttoparticolari o da situazioni eccezionali non considerate nella presenteautorizzazione.

8) Norme finali Restano fermi gli obblighi previsti dalla normativacomunitaria, ovvero da norme di legge o di regolamento, che stabilisconodivieti o limiti in materia di trattamento di dati personali e, in particolare:

a) dagli articoli 4 (impianti eapparecchiature per finalità di controllo a distanza dei lavoratori) e 8(indagini sulle opinioni del lavoratore o su altri fatti non rilevanti ai finidella valutazione dell'attitudine professionale) della legge 20 maggio 1970, n.300 e dall'art. 10 (indagini sulle opinioni del lavoratore e trattamentidiscriminatori) del decreto legislativo 10 settembre 2003, n. 276;

b) dalla legge 5 giugno 1990, n. 135, inmateria di sieropositività e di infezione da HIV;

c) dalle norme volte a prevenirediscriminazioni;

d) dall'art. 734-bis del codice penale,il quale vieta la divulgazione non consensuale delle generalità o dell'immaginedella persona offesa da atti di violenza sessuale.

Restano fermi, in particolare, gliobblighi previsti in tema di liceità e di correttezza nell'uso di strumenti oapparecchiature che permettono la raccolta di informazioni anche sonore ovisive, ovvero in tema di accesso a banche dati o di cognizione del contenutodella corrispondenza e di comunicazioni o conversazioni telefoniche,telematiche o tra soggetti presenti.

Resta ferma la facoltà per le personefisiche di trattare direttamente dati per l'esclusivo fine della tutela di unproprio diritto in sede giudiziaria, anche nell'ambito delle investigazionirelative ad un procedimento penale. In tali casi, il Codice non si applicaanche se i dati sono comunicati occasionalmente ad una autorità giudiziaria o aterzi, sempre che i dati non siano destinati ad una comunicazione sistematica oalla diffusione (art. 5, comma 3, del Codice).

9) Efficacia temporale e disciplinatransitoria La presenteautorizzazione ha efficacia a decorrere dal 1° luglio 2008 fino al 31 dicembre2009, salve eventuali modifiche che il Garante ritenga di dover apportare inconseguenza di eventuali novità normative rilevanti in materia.

La presente autorizzazione saràpubblicata nella Gazzetta Ufficiale della Repubblica italiana. Roma,19 giugno 2008

ILPRESIDENTE Pizzetti

ILRELATORE Fortunato

IL SEGRETARIO GENERALE Buttarelli