GARANTE EUROPEO
  DELLA PROTEZIONE DATI PERSONALI

Parere del garante europeo della protezione dei dati sulla proposta di regolamento del Parlamento europeo e del Consiglio recante le modalit di applicazione del regolamento (CE) n. 883/2004 relativo al coordinamento dei sistemi di sicurezza sociale (COM(2006)16 defin.)

(Pubblicato sulla G.U.U.E. n. C 91 del 26.4.2007)

 

IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI,

visto il trattato che istituisce la Comunit europea, in particolare l'articolo 286,

vista la Carta dei diritti fondamentali dell'Unione europea, in particolare l'articolo 8,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonch alla libera circolazione di tali dati (1),

visto il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonch la libera circolazione di tali dati (2), in particolare l'articolo 41,

vista la richiesta di parere a norma dell'articolo 28, paragrafo 2 del regolamento (CE) n. 45/2001 ricevuta il 7 dicembre 2006 dalla Commissione europea;

HA ADOTTATO IL SEGUENTE PARERE:

I. INTRODUZIONE

Consultazione del GEPD

1. La proposta di regolamento del Parlamento europeo e del Consiglio recante le modalit di applicazione del regolamento (CE) n. 883/2004 del Parlamento europeo e del Consiglio del 29 aprile 2004 relativo al coordinamento dei sistemi di sicurezza sociale (3) (in appresso la proposta) stata trasmessa dalla Commissione al GEPD per consultazione, a norma dell'articolo 28, paragrafo 2 del regolamento (CE) n. 45/2001. Secondo il GEPD, il presente parere dovrebbe essere citato nel preambolo del regolamento.

2. La consultazione formale da parte della Commissione fa seguito ai contatti tra il segretariato del GEPD e i servizi della pertinente DG della Commissione (DG EMPL), nel quadro dell'esercizio di inventario del GEPD del 2007 (4). In effetti, la presente proposta fa parte di quel pacchetto di proposte, nell'ambito del portafoglio della DG EMPL, che rivestono per il GEPD un grande interesse. Inoltre, il GEPD ha contribuito ad un'udienza organizzata dal Parlamento europeo il 23 novembre 2006, formulando alcune osservazioni preliminari sulla proposta. In tale contesto, il GEPD si compiace di questa consultazione e si aspetta di essere tempestivamente consultato in futuro in merito ad altre proposte della Commissione relative alla protezione dei dati personali nei settori della sicurezza sociale e dell'occupazione, in particolare quelle menzionate nel suo inventario.

La proposta nel suo contesto

3. La proposta stabilisce le modalit di applicazione del regolamento (CE) n. 883/2004 del Parlamento europeo e del Consiglio, del 29 aprile 2004, relativo al coordinamento dei sistemi di sicurezza sociale.

In effetti, le nuove norme di coordinamento contenute in detto regolamento non potranno essere applicate fino a che non sar stata adottata la presente proposta, che stabilisce le corrispondenti misure di applicazione (5). Pertanto, la proposta sar valutata in collegamento con il regolamento di base sul quale fondata. In merito a questo punto, occorre inoltre notare che il GEPD non ha emesso un parere sul regolamento 883/2004, in quanto la corrispondente proposta della Commissione stata adottata il 12 febbraio 1999 (6), prima dell'entrata in vigore del regolamento 45/2001/CE.

4. La proposta ha lo scopo di modernizzare e semplificare le norme vigenti, rafforzando la cooperazione tra le istituzioni di sicurezza sociale e migliorando i metodi di scambio dei dati tra le istituzioni di sicurezza sociale.

5. La proposta ha un vasto campo di applicazione, sia per quanto riguarda i cittadini interessati che in termini di settori contemplati. Da un lato, interessa tutti i cittadini dell'UE assicurati nel quadro della legislazione nazionale (incluse, quindi, le persone disoccupate), a condizione che vi siano elementi transfrontalieri.

Dall'altro, si applica ad un'ampia gamma di settori della sicurezza sociale: prestazioni di malattia; prestazioni di maternit e di paternit assimilate; prestazioni di invalidit; pensioni di vecchiaia; pensioni ai superstiti; prestazioni in caso di infortuni sul lavoro e malattie professionali; prestazioni in caso di morte; prestazioni di disoccupazione; pensioni di anzianit anticipate; prestazioni familiari.

6. Il GEPD si compiace di questa proposta in quanto mira a favorire la libera circolazione dei cittadini e a migliorare il tenore di vita e le condizioni di lavoro dei cittadini dell'UE che si spostano all'interno dell'Unione.

7. Le disposizioni relative allo scambio di dati personali tra le amministrazioni nazionali competenti per la sicurezza sociale costituiscono una parte essenziale della proposta. In effetti, la sicurezza sociale non potrebbe esistere senza il trattamento di diversi tipi di dati personali, in molti casi di natura sensibile.

Inoltre, lo scambio di dati personali relativi alla sicurezza sociale tra diversi Stati membri una conseguenza naturale di un'Unione europea in cui i cittadini fruiscono sempre pi spesso del loro diritto alla libera circolazione.

8. Tuttavia, anche essenziale che tale scambio intensificato di dati personali tra le amministrazioni nazionali degli Stati membri, oltre ad offrire migliori condizioni per la libera circolazione delle persone, assicuri anche un alto livello di protezione dei dati personali, garantendo in tal modo uno dei diritti fondamentali dell'UE. In tale contesto, il GEPD prende atto con soddisfazione che anche il Comitato economico e sociale europeo (CESE), nel suo parere del 26 ottobre 2006 relativo alla proposta, ha evidenziato la necessit di garantire un'adeguata protezione dei dati personali, specialmente in considerazione della natura talvolta sensibile dei dati in questione (7).

Impostazione del parere

9. Il GEPD stato consultato sulla proposta di regolamento di applicazione. Tuttavia, come precedentemente menzionato, il regolamento di applicazione non pu essere valutato separatamente dal regolamento (CE) n. 883/2004, che stabilisce il principio fondamentale del coordinamento dei sistemi di sicurezza sociale, anche per quanto riguarda la protezione dei dati personali. Pertanto, il GEPD terr conto nel suo parere del quadro stabilito da quest'ultimo regolamento. Ci nondimeno, il GEPD concentrer il suo parere sulle questioni per le quali il legislatore del regolamento di applicazione dispone ancora di un margine di manovra.

10. Il GEPD rileva inoltre che la proposta, oltre ad avere un vasto campo di applicazione, anche molto complessa, in quanto stabilisce disposizioni dettagliate, e talvolta tecniche, relative ai diversi meccanismi, circostanze e limitazioni del coordinamento dei sistemi di sicurezza sociale. Pertanto, nell'analizzare la proposta, il GEPD non tratter singolarmente ogni disposizione, ma adotter un approccio orizzontale, concentrandosi sui principi della protezione dei dati che sono particolarmente pertinenti per la proposta.

11. In base a tale approccio, il presente parere mira ad assicurare il rispetto della normativa in materia di protezione dei dati ma anche l'efficacia delle misure proposte, prevedendo e trattando questioni che potrebbero sorgere al momento dell'applicazione negli ordinamenti giuridici nazionali. Nel presente parere il GEPD definir innanzitutto il pertinente quadro giuridico in materia di protezione dei dati e tratter in seguito l'applicazione alla proposta dei pertinenti principi della protezione dei dati. Nelle conclusioni, il GEPD evidenzier i risultati e le raccomandazioni principali.

II. IL QUADRO GIURIDICO PERTINENTE IN MATERIA DI PROTEZIONE DEI DATI

12. Nel contesto della proposta, i dati personali delle persone assicurate saranno trattati generalmente dalle autorit nazionali competenti e rientreranno quindi nel campo di applicazione delle leggi nazionali di attuazione della direttiva 95/46/CE (la direttiva). Nei casi pi rari in cui saranno trattati dalle istituzioni comunitarie, i dati personali riguardanti le persone assicurate saranno soggetti al regolamento (CE) n. 45/2001 (8). Ci varrebbe, per esempio, nei casi in cui il trattamento dei dati personali riguarda i dipendenti dell'UE (9). Pertanto, l'attuale quadro giuridico in materia di protezione dei dati prevede un livello armonizzato di protezione in tutta l'Unione europea.

13. L'attuale proposta si varr di tale quadro armonizzato. Tuttavia, le legislazioni nazionali di attuazione della direttiva non sono pienamente uniformi e possono ancora esistere alcune divergenze tra le legislazioni nazionali in materia di protezione dei dati. quindi molto importante che il legislatore tenga conto di ci, al fine di assicurare che le misure proposte si conformino pienamente a tale quadro e facciano fronte a tali eventuali differenze.

14. Inoltre, l'aumento dello scambio transfrontaliero di dati richieder un maggior coordinamento delle disposizioni nazionali in materia di protezione dei dati personali. A tale riguardo, il GEPD esprime apprezzamento per l'articolo 77 del regolamento 883/2004. Tale disposizione prevede esplicitamente che i dati personali trattati in virt del regolamento, nonch delle norme di applicazione dello stesso, siano trasmessi nel rispetto delle disposizioni comunitarie in materia di protezione dei dati personali.

15. L'articolo 77 del regolamento 883/2004 fornisce inoltre orientamenti sulla legislazione nazionale in materia di protezione dei dati applicabile in caso di trasmissione dei dati tra autorit competenti di diversi Stati membri, disponendo che la comunicazione di dati personali da uno Stato membro ad un altro sia soggetta alla legislazione in materia di protezione dei dati dello Stato membro che li trasmette.

Viceversa, ogni comunicazione da parte dello Stato membro che li ha ricevuti, nonch la memorizzazione, la modificazione e la distruzione dei dati ricevuti sono soggette alla legislazione in materia di protezione dei dati dello Stato membro che li riceve. Tale disposizione conforme alla disposizione sul diritto nazionale applicabile contenuta nell'articolo 4 della direttiva.

16. Nella proposta fatto riferimento alle disposizioni comunitarie sulla protezione dei dati personali nel considerando 3 nonch nell'articolo 3, paragrafo 2. Mentre il considerando 3 afferma in modo generale che le persone interessate devono beneficiare di tutte le garanzie previste dalle disposizioni comunitarie relative alla protezione dei dati a carattere personale, l'articolo 3, paragrafo 2, fa specifico riferimento all'esercizio del diritto d'accesso e di rettifica ai propri dati di carattere personale.

17. Il GEPD conviene della necessit che uno strumento giuridico che d attuazione al potenziamento del trattamento e della trasmissione dei dati personali ricordi in modo chiaro ed esplicito il quadro applicabile in materia di protezione dei dati. In tale prospettiva, il GEPD raccomanda che venga fatto un riferimento generale alle disposizioni comunitarie in materia di protezione dei dati personali non solo nei considerando, ma anche esplicitamente nel dispositivo (ad esempio, nell'articolo 3). Tale disposizione generale non escluderebbe la possibilit che altre disposizioni, come quelle attualmente contenute nell'articolo 3, paragrafo 2, affrontino anche aspetti pi specifici relativi alla concreta applicazione dei principi della protezione dei dati nel quadro del coordinamento dei sistemi di sicurezza sociale (cfr. infra, punti 36, 37 e 38).

III. APPLICAZIONE DEI PERTINENTI PRINCIPI DELLA PROTEZIONE DEI DATI

Limitazione delle finalit

18. Uno dei principi fondamentali della normativa sulla protezione dei dati che i dati personali vengono trattati solo agli scopi per cui sono stati rilevati o per finalit compatibili (articolo 6, paragrafo 1, lettera b) della direttiva). La proposta non contempla alcuna disposizione generale sulla limitazione delle finalit (10). Tuttavia, l'approccio generale della proposta che i dati personali rilevati per una delle finalit della sicurezza sociale (pensione, prestazioni di invalidit, disoccupazione, ecc.) saranno trattati e successivamente trasmessi alle autorit degli altri Stati membri per la stessa finalit. Pertanto, la maggior parte delle operazioni di trattamento previste dalla proposta riguarderanno dati personali trattati per la stessa finalit o per una compatibile. Ci varr anche per il trattamento dei dati personali nel quadro della trasmissione di dati per il recupero di crediti o di prestazioni non dovute (articolo 73).

19. Tuttavia, in altre circostanze, quale il caso della cooperazione tra amministrazioni fiscali (considerando 14), i dati della sicurezza sociale potrebbero essere necessari anche per finalit diverse da quelle della sicurezza sociale. In tale caso, eccezioni al principio della limitazione delle finalit potrebbero essere giustificate in virt dell'articolo 13 della direttiva, in circostanze specifiche e purch siano necessarie e fondate su misure legislative, a livello nazionale o comunitario. In tale contesto, il legislatore potrebbe valutare l'opportunit di inserire nella proposta un riferimento specifico alle condizioni alle quali i dati della sicurezza sociale possono essere trattati per una finalit differente.

20. In considerazione di quanto sopra, il GEPD ritiene che la proposta rispetti le disposizioni fondamentali sulla protezione dei dati relative alla limitazione delle finalit. Inoltre, il GEPD rileva che il divieto di utilizzare dati personali per finalit diverse da quelle della sicurezza sociale deriva dalla legislazione applicabile in materia di protezione dei dati, che consentirebbe eccezioni a tale principio generale solo a condizioni specifiche e rigorose.

Proporzionalit dei dati trattati, entit competenti e periodi di conservazione

21. Secondo i principi della protezione dei dati, i dati personali devono essere adeguati, pertinenti e non eccedenti rispetto alle finalit per le quali vengono rilevati e/o per le quali vengono successivamente trattati (articolo 6, paragrafo 1, lettera c) della direttiva). Nel contesto dei sistemi di sicurezza sociale ci significa che in ogni circostanza viene trasmessa solo una serie di dati necessaria e proporzionata.

22. Tale principio correttamente sancito dall'articolo 2, paragrafo 1, della proposta, il quale prevede l'obbligo per le istituzioni degli Stati membri di comunicarsi tutti i dati necessari per stabilire e determinare i diritti e gli obblighi delle persone assicurate. In tale contesto, il GEPD sottolinea che la valutazione del novero di dati personali necessari pu variare leggermente a seconda del tipo di prestazione in questione. Per esempio, il tipo di informazioni personali necessarie per le prestazioni di malattia saranno differenti dalle informazioni necessarie per le pensioni di vecchiaia. Le informazioni trasmesse dalle autorit degli Stati membri non dovrebbero andare al di l di quanto necessario per i diritti o gli obblighi della persona assicurata che sono in gioco nella fattispecie.

23. Si dovrebbe applicare la proporzionalit anche per quanto riguarda il numero di entit competenti che hanno accesso ai dati nonch le modalit e la durata di conservazione dei dati personali. Solo le pertinenti autorit e istituzioni hanno accesso ai dati della sicurezza sociale, e questi ultimi sono conservati in modo da consentire l'identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalit per le quali sono trattati (articolo 6, paragrafo 1, lettera e) della direttiva).

24. Per quanto riguarda il numero di autorit ed istituzioni che hanno accesso ai dati personali delle persone assicurate, l'articolo 83 della proposta istituir una base di dati accessibile al pubblico, che elencher le entit pertinenti di ciascuno Stato membro. Occorre inoltre notare che la proposta flessibile e lascia agli Stati membri la libert di decidere se comunicare i dati personali tramite un punto centrale d'accesso ovvero direttamente all'autorit o all'istituzione pertinente (articolo 2, paragrafo 3). Inoltre, in ciascuno Stato membro vi potrebbero essere molte entit designate, alcune delle quali possono operare a livello regionale.

25. Per quanto riguarda il periodo di conservazione dei dati personali, il GEPD rileva che nel contesto della sicurezza sociale la verifica della proporzionalit pu condurre a risultati molto differenti, a seconda del settore della sicurezza sociale interessato. Ad esempio, il trattamento dei dati personali collegati alle prestazioni di malattia sar generalmente necessario per un arco di tempo pi breve che nel caso delle pensioni, prestazioni che, verosimilmente, verranno fornite per un periodo pi lungo. Il periodo di conservazione dei dati personali dipenderebbe anche dal tipo di entit che li tratta. Ad esempio, nel caso dei punti centrali di accesso, i dati personali verrebbero soppressi non appena siano stati inoltrati all'entit competente. In ogni caso, dovrebbe essere chiaro che i dati personali sono soppressi o resi anonimi appena non sono pi necessari al conseguimento delle finalit per le quali sono stati rilevati o trattati.

26. Alla luce di tali considerazioni, il GEPD sottolinea che in un sistema cos complesso, in cui i dati personali sono trattati e in seguito trasmessi attraverso una rete asimmetrica di entit, va posta una particolare cura nell'assicurare che i dati personali siano trattati dalle autorit competenti per un periodo di tempo proporzionato e che vengano evitate duplicazioni delle basi di dati. Secondo il GEPD la base di dati prevista dall'articolo 83 contribuir ad assicurare che i dati personali necessari vengano trasmessi solo alle autorit competenti in ciascun caso specifico. Tuttavia, potrebbero essere aggiunte all'attuale proposta ulteriori precisazioni sulle modalit di trasmissione e di conservazione dei dati, come la Commissione ha gi fatto in altre proposte (11). In tale contesto, il GEPD ritiene che una certa armonizzazione dei periodi di conservazione non solo tuteli il diritto dei cittadini alla protezione dei dati personali, ma migliori anche l'efficienza del coordinamento tra le amministrazioni nazionali dei diversi Stati membri.

Presupposti giuridici del trattamento di dati personali

27. La proposta istituisce una variet di meccanismi, secondo i quali i dati personali relativi alle persone assicurate vengono trasferiti tra entit competenti di diversi Stati membri. Tali scambi di dati personali possono essere suddivisi in due categorie generali: quelli effettuati in base a una richiesta della persona interessata e quelli realizzati d'ufficio, generalmente tra terzi (entit competenti, datori di lavoro), senza alcuna richiesta specifica da parte della persona interessata. In molti casi, le pertinenti entit tratteranno e trasmetteranno dati sensibili, in particolare dati relativi alle condizioni di salute.

28. Tutte queste attivit di trattamento rispetteranno le condizioni per il trattamento dei dati personali stabilite nella direttiva: le entit nazionali competenti e i datori di lavoro possono trattare dati personali solo in base al consenso della persona interessata o su altre basi legittime, quali l'adempimento di un obbligo legale o l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri (articolo 7, lettere a), c) ed e) della direttiva). Condizioni pi rigide si applicano ai dati sensibili, vale a dire i dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, nonch i dati relativi alla salute e alla vita sessuale (articolo 8 della direttiva).

29. In considerazione di quanto sopra, il GEPD sottolinea che si pu considerare che le disposizioni della proposta stabiliscano un obbligo legale, ai sensi dell'articolo 7, lettera c) della direttiva, di trattare e trasmettere dati della sicurezza sociale, nella misura in cui tale obbligo specifico. Pertanto, nei casi in cui la proposta stabilisce un chiaro obbligo di trattare i dati personali, le operazioni di trattamento da parte delle entit nazionali competenti e dei datori di lavoro potrebbero essere fondate sull'articolo 7, lettera c) della direttiva. Viceversa, laddove la proposta non prevede direttamente tale obbligo legale, il trattamento di dati personali avr come fondamento un obbligo legale specifico nazionale (non armonizzato) ovvero un diverso presupposto giuridico.

30. L'articolo 7, lettera e) della direttiva consente il trattamento di dati personali quando necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati. Ci vale nei casi in cui l'entit pertinente tratta dati pi in base ai suoi compiti o a pubblici poteri derivanti da una disposizione di legge generale, sia essa nazionale o comunitaria, che in base ad uno specifico obbligo legale. In tal caso, applicabile il diritto di opposizione a norma dell'articolo 14, lettera a) della direttiva.

31. L'uso del consenso quale presupposto giuridico, conformemente all'articolo 7, lettera a) della direttiva, ha un'applicazione pi limitata in relazione al trattamento di dati personali da parte di autorit pubbliche o in rapporti di lavoro, poich il consenso pu essere considerato libero, ai sensi dell'articolo 2, lettera h) della direttiva, solo se per la persona interessata sussistono alternative valide.

32. Per quanto riguarda il trattamento di dati sensibili (articolo 8 della direttiva), valgono considerazioni analoghe a quelle dei punti precedenti. Il GEPD ritiene che gli obblighi derivanti dal diritto del lavoro (articolo 8, paragrafo 2, lettera b) della direttiva), ulteriori deroghe (articolo 8, paragrafo 4) o il consenso (articolo 8, paragrafo 2, lettera a)) possano costituire presupposti giuridici pertinenti per il trattamento di dati sensibili della sicurezza sociale. In tal caso, potrebbero essere necessarie garanzie specifiche, quali misure tecniche di compartimentalizzazione.

33. Alla luce delle precedenti considerazioni, il GEPD fa notare che quanto pi chiaramente la presente proposta stabilisce per le entit competenti e i datori di lavoro uno specifico obbligo legale di trattare i dati personali, tanto pi facile ed efficace sar l'applicazione del regolamento negli Stati membri, in relazione al rispetto delle legislazioni nazionali in materia di protezione dei dati derivanti dalla direttiva. Pertanto il GEPD, senza entrare nei dettagli dei diversi meccanismi specifici previsti dalla proposta, raccomanda al legislatore comunitario di assicurare che ciascun meccanismo di trattamento e trasmissione dei dati personali proposto sia chiaramente basato su un obbligo legale specifico direttamente stabilito dalla proposta o su altri legittimi presupposti giuridici per il trattamento conformemente agli articoli 7 e 8 della direttiva.

Informazione delle persone assicurate

34. L'adeguata informazione delle persone interessate circa il trattamento dei dati personali che le riguardano e i loro diritti essenziale, come stabilito nella sezione IV della direttiva 95/46. Ci ancora pi importante quando i dati personali vengono trattati da molte autorit in diversi Stati membri e pertanto le persone interessate possono correre il rischio di non sapere pi chi stia trattando i dati personali che le riguardano, per quali finalit e come esercitare i loro diritti.

35. Su tale questione il GEPD sostiene con vigore un approccio proattivo: fornire alle persone interessate informazioni esaurienti e tempestive, al fine di chiarire sia l'uso delle informazioni raccolte che i diritti delle persone stesse. A tale riguardo, il GEPD non solo approva l'invito, rivolto dal CESE (12), a sensibilizzare tutti i potenziali utilizzatori del regolamento, ma sollecita anche il legislatore ad aggiungere nella proposta un riferimento specifico alla necessit di fornire alle persone interessate informazioni specifiche ed adeguate relative al trattamento dei dati personali che le riguardano. Ci si potrebbe fare modificando l'articolo 19 (Informazione delle persone assicurate) al fine di garantire che vengano fornite le necessarie informazioni alle persone assicurate.

Diritti delle persone interessate

36. I diritti delle persone interessate sono particolarmente rilevanti nel contesto dei sistemi di sicurezza sociale, in quanto consentono a tali persone di mantenere il controllo dei dati (sensibili) che le riguardano, di assicurarne l'esattezza e di verificare le informazioni in base alle quali sono prese decisioni importanti o concesse prestazioni. Ci vale particolarmente in un contesto transfrontaliero, in cui il margine di errore nella trasmissione dei dati personali verosimilmente maggiore data la necessit di tradurre le informazioni. Mette conto inoltre menzionare che la maggior esattezza delle informazioni derivante dall'esercizio dei diritti delle persone interessate va a beneficio non solo di queste ultime ma anche degli enti di sicurezza sociale pertinenti.

37. Il GEPD esprime particolare apprezzamento per l'articolo 3, paragrafo 2 della proposta, il quale stabilisce che gli Stati membri garantiscono alle persone interessate un diritto d'accesso e di rettifica dei dati personali, nel rispetto delle disposizioni comunitarie in materia di protezione di tali dati. Tuttavia, il GEPD propone di integrare tale disposizione con un riferimento pi ampio a tutti i diritti delle persone interessate, ivi compresi il diritto di opposizione (articolo 14 della direttiva 95/46) e le salvaguardie relative alle decisioni individuali automatizzate (articolo 15 della direttiva 95/46).

38. Inoltre, il GEPD raccomanda che la proposta tenga in debita considerazione la necessit di facilitare l'effettivo esercizio dei diritti delle persone interessate in un contesto transfrontaliero. In effetti, tali persone dovranno esercitare i loro diritti in una situazione in cui i dati personali che le riguardano provengono da diverse autorit di due o pi paesi. Pertanto, sarebbe auspicabile che in tali casi i diritti delle persone interessate potessero essere esercitati anche direttamente tramite la competente autorit che riceve i dati personali da altri Stati membri. Ci significherebbe che l'autorit competente che si trova in diretto contatto con la persona assicurata sarebbe chiamata a fungere da sportello unico per quanto riguarda non solo le prestazioni della sicurezza sociale, ma anche tutti i dati personali trattati in relazione a tali prestazioni. Una persona assicurata sarebbe pertanto in grado di esercitare i propri diritti tramite l'autorit competente indipendentemente dall'origine dei dati. Pertanto, il GEPD invita il legislatore a considerare tale possibilit, anche alla luce degli esempi gi forniti in altre proposte della Commissione (13).

Misure di sicurezza

39. Nella proposta, la sicurezza nel trattamento dei dati particolarmente rilevante in relazione all'uso pi generalizzato degli strumenti elettronici da parte delle pubbliche amministrazioni di diversi Stati membri. Inoltre, nella maggior parte dei casi la trasmissione interesser dati sensibili e pertanto, come sottolineato anche dal CESE, ancor pi importante garantire che questi dati siano adeguatamente protetti e non finiscano nelle mani sbagliate (14).

40. A tale riguardo, il GEPD si compiace per l'articolo 4 della proposta, il quale stabilisce che la trasmissione dei dati tra gli enti pertinenti avviene per via elettronica, in un quadro sicuro comune in grado di garantire la riservatezza e la protezione degli scambi di dati. Tuttavia, il GEPD sottolinea che tale quadro sicuro comune, il quale dovr essere definito dalla commissione amministrativa per il coordinamento dei sistemi di sicurezza sociale (15), dovrebbe tenere nel debito conto le raccomandazioni emanate dal programma IDABC (16) (erogazione interoperabile di servizi paneuropei di governo elettronico alle amministrazioni pubbliche, alle imprese e ai cittadini) che hanno attinenza con le disposizioni comunitarie in materia di protezione dei dati, e in particolare quelle relative alla sicurezza dei trattamenti (articolo 17 della direttiva). In tale prospettiva, il GEPD raccomanda inoltre di coinvolgere opportunamente nei pertinenti lavori della commissione amministrativa dei consiglieri tecnici in materia di protezione dei dati e di sicurezza.

IV. CONCLUSIONI E RACCOMANDAZIONI

41. Il GEPD si compiace di questa proposta in quanto mira a favorire la libera circolazione dei cittadini e a migliorare il tenore di vita e le condizioni di lavoro dei cittadini dell'UE che si spostano all'interno dell'Unione. In effetti, il coordinamento dei sistemi di sicurezza sociale non potrebbe esistere senza il trattamento e la trasmissione di diversi tipi di dati personali, in molti casi di natura sensibile.

42. Tuttavia, anche essenziale che tale maggiore scambio di dati personali tra le amministrazioni nazionali degli Stati membri, oltre ad offrire migliori condizioni per la libera circolazione delle persone, assicuri anche un alto livello di protezione dei dati personali, garantendo in tal modo uno dei diritti fondamentali dell'UE.

43. La proposta si varr del quadro armonizzato in materia di protezione dei dati costituito dalle disposizioni comunitarie in materia di protezione dei dati personali, in particolare dalla direttiva 95/46/CE e dalle norme nazionali di recepimento. Il GEPD lieto che l'applicabilit di tale quadro in materia di protezione dei dati venga ricordata sia nel regolamento di base 883/2004 che nella proposta. Tuttavia, dovrebbero essere ulteriormente ed esplicitamente trattati aspetti specifici relativi all'applicazione dei principi di protezione dei dati nel quadro del coordinamento dei sistemi di sicurezza sociale.

44. Per quanto riguarda il principio della limitazione delle finalit, il GEPD ritiene che la proposta rispetti le disposizioni fondamentali sulla protezione dei dati relative alla limitazione delle finalit. Inoltre, il GEPD rileva che il divieto di utilizzare dati personali per finalit diverse da quelle della sicurezza sociale non stabilito esplicitamente nella proposta ma deriva dalla legislazione applicabile in materia di protezione dei dati, che consentirebbe eccezioni a tale principio generale solo in circostanze specifiche e a condizioni rigorose. In tale contesto, il legislatore potrebbe prendere in considerazione la possibilit di inserire nella proposta un riferimento specifico alle condizioni alle quali i dati della sicurezza sociale possono essere trattati per una finalit differente.

45. Per quanto concerne la proporzionalit dei dati trattati, le entit competenti e i periodi di conservazione, il GEPD sottolinea che in un sistema cos complesso, in cui i dati personali sono trattati e ulteriormente trasmessi attraverso una rete asimmetrica di entit, occorre porre una particolare cura nell'assicurare che i dati personali siano trattati dalle autorit competenti per un periodo di tempo proporzionato e che vengano evitate duplicazioni delle basi di dati. In tale contesto, potrebbero essere aggiunte alla proposta ulteriori precisazioni sulle modalit di trasmissione e di conservazione dei dati.

46. Per quanto riguarda i presupposti giuridici del trattamento di dati personali, il GEPD, senza entrare nei dettagli dei diversi meccanismi specifici previsti dalla proposta, raccomanda al legislatore comunitario di assicurare che ciascun meccanismo di trattamento e trasmissione dei dati personali proposto sia chiaramente basato su un obbligo legale specifico direttamente stabilito dalla proposta o su altri legittimi presupposti giuridici per il trattamento conformemente agli articoli 7 e 8 della direttiva.

47. Per quanto concerne l'informazione delle persone assicurate, il GEPD raccomanda di aggiungere nella proposta un riferimento specifico alla necessit di fornire alle persone interessate informazioni specifiche ed adeguate relative al trattamento dei dati personali che le riguardano.

48. Per quanto riguarda i diritti delle persone interessate, il GEPD esprime particolare apprezzamento per l'articolo 3, paragrafo 2 della proposta e propone di integrare tale disposizione con un riferimento pi ampio a tutti i diritti delle persone interessate, ivi compresi il diritto di opposizione e le salvaguardie relative alle decisioni individuali automatizzate. Inoltre, il GEPD invita il legislatore a facilitare l'effettivo esercizio dei diritti delle persone interessate in un contesto transfrontaliero prevedendo che l'autorit competente che si trova in diretto contatto con la persona assicurata funga da sportello unico per quanto riguarda non solo le prestazioni della sicurezza sociale, ma anche tutti i dati personali trattati in relazione a tali prestazioni.

49. Per quanto concerne le misure di sicurezza, Il GEPD raccomanda che il quadro sicuro comune per la trasmissione dei dati previsto dall'articolo 4 della proposta tenga nel debito conto le raccomandazioni sulla protezione dei dati e la sicurezza dei trattamenti. In tale contesto, dovrebbero essere opportunamente coinvolti nei pertinenti lavori della commissione amministrativa dei consiglieri tecnici in materia di protezione dei dati e di sicurezza.

Fatto a Bruxelles, add 6 marzo 2007

Peter HUSTINX

Garante europeo della protezione dei dati

 

 

NOTE                                      
(1) GU L 281 del 23.11.1995, pag. 31.

(2) GU L 8 del 12.1.2001, pag. 1.

(3) GU L 166 del 30.4.2004, pag. 1.

(4) A dicembre di ogni anno il GEPD pubblica un inventario delle sue priorit per l'anno successivo nell'ambito della consultazione.

Esso elenca le proposte pi rilevanti della Commissione, che possono richiedere una reazione formale da parte del GEPD. Viene data priorit alle proposte che si ritiene avranno un forte impatto sulla protezione dei dati. L'inventario del GEPD per il 2007 disponibile sul sitoWeb del GEPD www.edps.europa.eu

(5) Attualmente, le norme sono stabilite dal regolamento (CEE) n. 1408/71 del Consiglio, del 14 giugno 1971, relativo all'applicazione dei regimi di sicurezza sociale ai lavoratori subordinati e ai loro familiari che si spostano all'interno della Comunit, GU L 149 del 5.7.1971, pag. 2, nonch dal suo regolamento di applicazione, il regolamento (CEE) n. 574/72 del Consiglio, GU L 74 del 27.3.1972, pag. 1.

(6) GU C 38 del 12.2.1999, pag. 10.

(7) Parere del Comitato economico e sociale europeo del 26 ottobre 2006 in merito alla Proposta di regolamento del Parlamento europeo e del Consiglio recante le modalit di applicazione del regolamento (CE) n. 883/2004 relativo al coordinamento dei sistemi di sicurezza sociale, GU C 324 del 30.12.2006, pag. 59.

(8) Poich le disposizioni del regolamento (CE) n. 45/2001 rispecchiano quelle contenute nella direttiva 95/46, per agevolare la lettura il presente parere far riferimento solo agli articoli pertinenti di tale direttiva e non alle analoghe disposizioni del suddetto regolamento.

(9) Ad esempio, l'articolo 15 del regolamento (CE) n. 883/2004 e l'articolo 18 dell'attuale proposta riguardano il trasferimento dei dati personali relativi agli agenti ausiliari.

(10) Nel suo parere il CESE ha evidenziato questo punto, deplorando che manchi una disposizione che vieta espressamente di utilizzare questi dati a fini diversi da quelli della sicurezza sociale, come quella vigente dell'articolo 84, paragrafo 5, lettera b) del regolamento (CEE) n. 1408/71. Parere del CESE, punto 4.10.2.

(11) Un esempio recente di tali disposizioni figura nella proposta di regolamento del Consiglio relativo alla competenza, alla legge applicabile, al riconoscimento e all'esecuzione delle decisioni e alla cooperazione in materia di obbligazioni alimentari presentata dalla Commissione (COM(2005) 649 defin.). In particolare, l'articolo 46 di tale proposta prevede l'obbligo per le autorit centrali di distruggere l'informazione che hanno ricevuto dalle autorit di altri Stati membri subito dopo averla comunicata all'entit nazionale competente. Il paragrafo 3 prevede inoltre il divieto esplicito di conservare un'informazione comunicata conformemente al regolamento per un periodo pi lungo di quello necessario alla finalit della comunicazione e in ogni caso per un periodo superiore ad un anno. Cfr. anche il parere del GEPD su tale proposta, GU C 242 del 7.10.2006 pag. 20, punti 45-49.

(12) Parere del CESE, punto 1.11.

(13) Un esempio recente si trova nella proposta della Commissione concernente la decisione quadro del Consiglio relativa agli scambi fra gli Stati membri di informazioni estratte dal casellario giudiziario (COM (2005) 690 defin.). L'articolo 6 della proposta consente alla persona interessata di esercitare il diritto di accesso ai dati personali che la riguardano non solo rivolgendosi all'autorit che controlla i dati, ma anche tramite l'autorit del paese in cui residente. Ulteriori esempi si trovano anche nel Sistema d'Informazione Schengen.

(14) Parere del CESE, punto 4.10.

(15) Istituita dall'articolo 71 del regolamento (CE) n. 883/2004. L'articolo 4 della proposta prevede che la commissione amministrativa stabilisce formato e modalit degli scambi di dati.

(16) http://ec.europa.eu/idabc/en/home