Parere 4/2009 - WP 162

Secondo parere concernente lo standardinternazionale dell'Agenzia Mondiale Antidoping (WADA) per la protezione dellaprivacy e dei dati personali, le disposizioni pertinenti del codice WADA e lealtre questioni inerenti la vita privata nell'ambito della lotta contro ildoping nello sport da parte della WADA e di altre organizzazioni (nazionali)antidoping

adottato il 6 aprile 2009

Il gruppo per la tutela delle persone conriguardo al trattamento dei dati personali istituito dalla direttiva 95/46/CEdel Parlamento europeo e del Consiglio, del 24 ottobre 1995,

visti gli articoli 29 e 30, paragrafi 1,lettera a), e 3 della richiamata direttiva, e l'articolo 15, paragrafo 3, delladirettiva 2002/58/CE del Parlamento europeo e del Consiglio del 12 luglio 2002,

visto l'articolo 255 del trattato CE e ilregolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio, del 30maggio 2001, relativo all'accesso del pubblico ai documenti del Parlamentoeuropeo, del Consiglio e della Commissione,

visto il proprio regolamento interno,

ha adottato il presente documento:

1. Introduzione e contesto

Nel suo primo parere sull'argomento¹,il Gruppo di lavoro ha esaminato la compatibilità del progetto di Standardinternazionale per la protezione della privacy e dei dati personali (in appresso "lo standard sullaprivacy" o "lo standard") con il livello minimo di tutelaprevisto dalle norme europee sulla protezione dei dati. Pur essendosi espressoa favore di taluni aspetti dello standard, tra cui il riferimento alladirettiva 95/46/CE, il Gruppo di lavoro è giunto alla conclusione che fosseincompatibile con il livello minimo di protezione garantito dalla direttiva, eha formulato alcune raccomandazioni.

Da allora, il progetto di standard èstato modificato ed è entrato in vigore il 1° gennaio 2009.

L'Agenzia Mondiale Antidoping (WADA) hafornito informazioni supplementari in risposta alle precedenti richieste dichiarimenti del Gruppo di lavoro.

Quest'ultimo è lieto che alcune delle sueosservazioni siano state inserite nello standard sulla privacy², masi rammarica che non si sia tenuto conto di altri suoi rilievi (v. oltre alpunto 3.2).

Il presente parere ha ad oggettoquestioni che, secondo il Gruppo di lavoro, rimangono problematiche nell'ambitodelle norme europee sulla privacy e la protezione dei dati personali, ma nonelabora nessuna conclusione formale in merito alla loro adeguatezza. Nel pareresi rileva che lo standard fa esplicito riferimento al principio secondo cuil'insieme delle norme minime comuni da esso stabilite si applica alleorganizzazioni antidoping, lasciando impregiudicate le norme o regole piùsevere che tali organizzazioni sono eventualmente tenute a osservare in basealle rispettive legislazioni nazionali.

La Convenzione internazionale contro ildoping nello sport dell'UNESCO del 2005, ratificata da 25 dei 27 Stati membridell'Unione europea, è stata conclusa al fine di promuovere l'attività dellaWADA a livello internazionale. La Convenzione non intacca i diritti e gliobblighi dei firmatari con riferimento ad altri accordi precedentementeconclusi (articolo 6),ma incoraggia la cooperazione tra Stati in presenza di circostanze adeguate,nel costante rispetto della legislazione nazionale, ossia dei provvedimentiemanati dagli Stati membri in attuazione della direttiva 95/46/CE. Il dirittocomunitario prevede che, in caso di conflitto tra le disposizioni di un accordointernazionale e la normativa comunitaria, prevalga quest'ultima.

La Convenzione UNESCO non richiamaconcretamente né i diritti fondamentali in generale né il diritto allaprotezione dei dati in particolare.

Il Gruppo di lavoro non può limitare leproprie osservazioni allo standard sulla privacy.

Infatti, poiché quest'ultimo contienenumerosi riferimenti al codice WADA e alla banca dati ADAMS (v. 2.2), occorreesaminarlo nel contesto più ampio della sua applicazione. Per questa ragione,dopo aver rammentato le caratteristiche principali del sistema sviluppato dallaWADA (punto 2), il parere passa ad affrontare più approfonditamente lequestioni seguenti:

informazioni sul luogo di permanenzadell'atleta (3.1), osservazioni contenute nel primo parere e non integrate(3.2), fondamenti giuridici per il trattamento dei dati (3.3), trasferimento didati alla banca dati ADAMS in Canada e ad altri paesi terzi (3.4), periodo diconservazione dei dati (3.5), sanzioni (3.6.).

I responsabili del trattamentonell'Unione europea, quali le organizzazioni nazionali antidoping, lefederazioni sportive nazionali e internazionali e i comitati olimpici, possonoevincere da questo parere alcune delle limitazioni che la legge impone altrattamento dei dati personali degli atleti o di altri interessati. Il Gruppodi lavoro evidenzia che i responsabili del trattamento nell'UE devono trattarei dati personali nel rispetto delle normative nazionali, disattendendo quindiil Codice mondiale antidoping e gli standard internazionali qualora questiultimi siano incompatibili con il diritto interno. Il Gruppo di lavororaccomanda che i responsabili si avvalgano di consulenza legale al fine diessere pienamente informati di tutte le questioni rilevanti, in particolarel'applicabilità delle normative nazionali.

2. Descrizione delle caratteristicheprincipali del sistema antidoping della WADA

2.1. Contesto internazionale

La WADA è una fondazione istituita aisensi del diritto svizzero per promuovere e coordinare, a livellointernazionale, la lotta contro il doping in tutte le discipline sportive. Nelperseguire tale obiettivo, la WADA collabora con le organizzazione intergovernative,i governi, le autorità pubbliche e gli altri enti pubblici e privati attivinella lotta al doping nello sport. A tal fine ha adottato il codice WADA,costituito da vari standard, tra cui lo standard sulla privacy³.L'obiettivo del codice è quello di assicurare programmi antidoping armonizzati,coordinati ed efficaci a livello internazionale e nazionale con riguardoall'individuazione, ai deterrenti e alla prevenzione dei casi di doping. Ilcodice è stato accettato dalle federazioni internazionali degli sport praticatinell'Unione europea e dalle organizzazioni nazionali antidoping di tutti gliStati membri dell'UE.

2.2. Il codice, i controlli antidopinge la banca dati ADAMS

Il codice WADA impone, inter alia, alle organizzazioni antidoping diselezionare gli atleti da inserire nel Gruppo registrato ai fini delcontrollo e di ottenereda questi ultimi le informazioni sul luogo di permanenza dell'atleta.

La WADA ha sviluppato e controlla ilsistema di amministrazione e gestione antidoping (Anti-Doping Administrationand Management System – ADAMS), una banca dati con sede a Montreal,Canada⁴, grazie alla quale opera come centro di informazioni per icontrolli antidoping. L'utilizzo di ADAMS come strumento per la condivisionedelle informazioni da parte delle organizzazioni antidoping è facoltativo,sebbene secondo alcune fonti la WADA intenderebbe renderlo obbligatorio.

Tale utilizzo è disciplinato da unaccordo standard tra la WADA e le organizzazioni antidoping, che conferisce aqueste ultime il diritto di creare in ADAMS un profilo degli atleti iscritti alGruppo registrato ai fini del controllo e di fornire l'"accesso richiesto" al profilo ealle "altre informazioni" concernenti un atleta a tutte le organizzazioni antidoping chein base al codice sono autorizzate a effettuare controlli su quel determinato atleta. Il profilo deve indicare il Grupporegistrato ai fini del controllo a cui l'atleta appartiene, il nome e cognome, la data di nascita, il sesso, lacittadinanza, la cittadinanza sportiva, gli sport e le discipline praticate,l'elenco di tutte le organizzazioni antidoping che hanno accesso alleinformazioni relative ai controlli antidoping dell'atleta, e un simboloindicante se l'atleta competea livello internazionale. Il nome dell'atleta, la data di nascita, il sesso ela cittadinanza sportiva possono essere comunicati ad altri utenti di ADAMS.

In base all'accordo, le organizzazioniantidoping sono tenute ad assicurare che gli atleti inseriscano in ADAMS emantengano aggiornate le informazioni sul luogo di permanenza ad essi relative, e a rendere disponibilel'accesso a tali informazioni anche alle altre associazioni antidoping che, aisensi del codice, sono autorizzate a effettuare controlli sull'atleta. Inoltre,le autorità antidoping sono tenute a inserire in ADAMS tutte le informazionirelative al controllo antidoping e tutte le decisioni che accordano un'esenzionea fini terapeutici, edevono garantire alla WADA l'accesso a tali esenzioni. (In alcuni casi gliatleti possono fare domanda presso le rispettive organizzazioni antidoping perottenere un'esenzione a fini terapeutici per l'uso di sostanze altrimenti vietate).

Il periodo di conservazione delleinformazioni è di "almeno" 8 anni (tranne che per le informazioni sulluogo di permanenza dell'atleta, per le quali il periodo di conservazione è di18 mesi). Non risulta sia stato previsto un periodo di conservazione massimo.

L'accordo impone alle organizzazioniantidoping di riconoscere che la creazione del profilo di un atleta non è subordinataal suo consenso, ma che quest'ultimo "possa" essere previsto dalleleggi vigenti in materia di protezione della vita privata. Ove il consenso sianecessario, le organizzazioni antidoping lo devono richiedere agli atleti anome proprio e della WADA, e indennizzare quest'ultima contro qualsiasi pretesanei suoi confronti fondata sul mancato ottenimento del consenso necessario diun atleta.

Un articolo è dedicato alla riservatezzadei dati, e vieta alle organizzazioni antidoping di rivelare qualsiasiinformazione ai loro membri, salvo che ciò non risulti necessario, e anche inquesto caso soltanto nel rispetto delle finalità del codice WADA. Leassociazioni antidoping devono rilevare, trattare e comunicare i dati soltantoper i fini per i quali sono stati raccolti, informare i destinatari delcarattere confidenziale delle informazioni e fornire indicazioni per il lorotrattamento riservato, garantendo tale riservatezza per mezzo di un accordoscritto con i destinatari. I dati possono essere comunicati a personemenzionate nell'accordo o nel codice.

Dal canto suo, la WADA può trattare idati per ottemperare agli obblighi imposti dal codice alle organizzazioniantidoping e, nel rispetto dei controlli previsti per contratto e previaapprovazione da parte di queste ultime, può anche comunicare i dati a qualsiasiterzo fornitore di servizi della cui assistenza potrebbe avvalersi per lagestione e la manutenzione di ADAMS, o qualora ciò sia previsto dalla legge onormativa vigente o dalle autorità governative.

Le organizzazioni antidoping sonocompetenti per l'attuazione di misure di sicurezza ragionevoli per impedirel'accesso non autorizzato alle informazioni conservate in ADAMS. In caso dialterazione, perdita, danneggiamento o trasmissione erronea dei dati inpossesso della WADA, quest'ultima deve attivarsi per quanto possibile perripristinare o ricreare i dati perduti, ma in nessun caso sarà ritenutaresponsabile dell'alterazione, perdita, danneggiamento o trasmissione erroneadi dati in conseguenza dell'uso improprio di ADAMS da parte diun'organizzazione antidoping o di un'atleta.

Tramite l'accordo, le parti riconosconola propria responsabilità in ordine all'osservanza delle rispettive normativesulla protezione dei dati e della vita privata. Le organizzazioni antidopingdevono pertanto rispettare la legislazione vigente in materia di protezione deidati. Non è disponibile alcun accordo specifico applicabile agli enti sportivinazionali e alle federazioni internazionali (come avviene invece nel caso delleorganizzazioni antidoping); tuttavia, sembrerebbe che le questioni sostanzialicoincidano. La maggior parte delle federazioni internazionali ha sede inSvizzera.

L'accordo, come si evince dallo stesso,sarà disciplinato dal diritto svizzero.

Ai fini del presente parere, si omette laquestione del responsabile/incaricato del trattamento dei dati per ogni singolotrattamento, sebbene possa risultare rilevante, in particolare per quantoriguarda gli enti extracomunitari che interagiscono con l'Unione europea inqualità di responsabili del trattamento.

3. Questioni specifiche

3.1 Informazioni sul luogo dipermanenza dell'atleta

Come si è già accennato, in base alcodice WADA e allo standard internazionale per il controllo, gli atletiselezionati dalle rispettive federazioni internazionali o dalle associazioniantidoping nazionali per l'iscrizione nel Gruppo registrato ai fini deicontrolli devono fornire informazioni dettagliate e aggiornate sulla lorolocalizzazione. Tali informazioni devono essere accessibili alle associazioniantidoping tramite la banca dati ADAMS. Quanto previsto concerne direttamentele norme sulla protezione dei dati stabilite dallo standard sulla privacy (v.articolo 2.0).

L'obbligo di fornire tali dati èprincipalmente giustificato dall'esigenza di attuare programmi efficaci dicontrollo fuori competizione, esigenza che deve comunque essere soddisfattatrattando solo dati personali proporzionati e pertinenti, nel rispetto deiprincipi ai quali la protezione dei dati si informa. A tale proposito, laConvenzione antidoping del Consiglio d'Europa (1989)⁵ prevede che icontrolli antidoping siano espletati in orari e modi appropriati, senzainterferire irragionevolmente nella vita privata degli sportivi (articolo 7,paragrafo 3, lettera a) e paragrafo 74 del rapporto esplicativo).

Alla luce di quanto precede, occorrerebbestabilire con chiarezza quali siano le informazioni da fornire in ordine allareperibilità e agli orari per i controlli, tenendo conto dei principi dinecessità e proporzionalità con riguardo alle finalità dei controlli fuoricompetizione, evitando di raccogliere informazioni che potrebbero comportareun'indebita interferenza nella vita privata degli atleti o rivelare datisensibili di atleti e/o terzi (ad esempio i familiari).

Il trattamento dei dati personalipertinenti e conformi al principio di proporzionalità dovrebbe partire daun'analisi che individui quali atleti siano a rischio di doping e come siconfiguri tale rischio. La WADA fornisce alle organizzazioni antidoping glistrumenti per procedere all'analisi del rischio (standard internazionale per ilcontrollo, paragrafo 4.4). Il Gruppo di lavoro desidera sottolineare che lacomposizione del Gruppo registrato per i controlli dovrebbe basarsi su dettaanalisi. Tra l'altro, il tipo di sport in cui l'atleta compete (connesso adesempio al tipo di sostanze o metodi proibiti che possono essere impiegati inquella disciplina per migliorare le prestazioni degli atleti e alla cultura delrifiuto di sostanze o metodi proibiti), il livello a cui l'atleta compete, ifattori di rischio personali degli atleti, sono tutti fattori rilevanti perselezionare il Gruppo registrato ai fini del controllo.

L'analisi del rischio e in particolare ifattori summenzionati dovrebbero essere anch'essi rilevanti nel contesto delleinformazioni sul luogo di permanenza da richiedere a determinati atleti. Ingenerale, il Gruppo di lavoro è lieto di prendere atto che il codice e lostandard internazionale per il controllo, articolo 11.3, non esigono informazionisul luogo di permanenza dell'atleta 24 ore su 24, 7 giorni su 7. Ciò non solosarebbe sproporzionato, ma si tradurrebbe persino nell'obbligo di fornire datisensibili, dal momento che gli atleti, come chiunque altro, frequentano adesempio luoghi di culto, si sottopongono a cure mediche, ovvero partecipano ariunioni di partiti politici; di norma, per quanto concerne la reperibilità,non vi è motivo di imporre un obbligo di trattare dati sensibili.

Il Gruppo di lavoro ritiene proporzionatoimporre l'obbligo di fornire informazioni personali relativamente al periodo di60 minuti giornaliero indicato, nonché l'obbligo di comunicare il nome el'indirizzo di ogni località in cui l'atleta si allena, lavora o svolgequalsiasi altra attività regolare (solo in quanto connessa con la normaleroutine dell'atleta, v. articolo 11.3 dello standard internazionale per ilcontrollo). Gli esempi riportati mostrano che, ad eccezione del periodo di 60minuti giornaliero e della residenza, si considerano proporzionate le informazionirelative a periodi di quattro ore al giorno⁶. Il Gruppo di lavoroauspica quindi che la WADA non richieda alle organizzazioni antidoping diraccogliere informazioni sul luogo di permanenza dell'atleta in misura maggiorerispetto a quanto illustrato finora.

Inoltre, la richiesta di informazioniconcernenti normali attività che esulano dalle competizioni e dagli allenamentipotrebbe essere ritenuta sproporzionata se rivolta ad atleti non professionistiche competono a livello nazionale e internazionale. Questo perché la WADAstessa ha affermato che "per gli atleti che competono a livelli inferiori,le regole sono molto più elastiche. Per questi ultimi, informazioni limitatealle località e agli orari in cui si svolgono le competizioni e gli allenamentipotrebbero verosimilmente risultare sufficienti, anche se, a parere della WADA,non sarebbe questo il modo più "efficiente" di procedere aicontrolli"⁷. Stabilire se sussistano i fondamenti giuridici perprocedere al trattamento di dati personali non è comunque questione di"efficienza", ma di "necessità".

La WADA dovrebbe inoltre riconsiderare larichiesta di comunicazione del luogo di residenza per ciascun giorno nel corsodel semestre successivo (anche in caso di soggiorno temporaneo) (articolo 11.3.1,lettera d., dello Standard internazionale per il controllo), poiché ciòsembrerebbe discutibile, considerando che nel caso di controllo eseguito senzapreavviso "l'incaricato del controllo antidoping cercherà di reperirel'atleta tra le ore 7:00 e le ore 22:00" (articolo 2.2 delle Linee guidadella WADA per i controlli fuori gara del giugno 2004). In considerazione deicommenti esposti in precedenza relativamente agli atleti che competono alivelli inferiori, quanto rilevato interesserebbe proprio questi ultimi.

Inoltre, gli atleti dovrebbero esseremessi al corrente dei dati personali che sono tenuti a fornire: l'avvisotrasmesso all'atleta deve precisare se le informazioni dettagliate sul suoluogo di permanenza siano da fornire su base facoltativa o obbligatoria e qualisiano le conseguenze della mancata comunicazione di tali informazioni.

3.2. Alcune osservazioni non integrateriprese dal primo parere (WP 156)

3.2.1. Termini e definizioniutilizzate nel codice e nello Standard

• Partecipante - persona

Il Gruppo di lavoro ritiene che ilconcetto di "partecipante" – come definito dal codice e dallostandard sulla privacy – sia eccessivamente restrittivo per potergarantire protezione a tutte le persone i cui dati possono essere trattati nel contesto dell'applicazionedel codice. In tale ambito si prega di notare che il codice, tra l'altro indiversi articoli riguardanti udienze aventi ad oggetto violazioni dellanormativa antidoping e la loro pubblicazione, utilizza il termine nonrestrittivo "persona" (si vedano ad esempio gli articoli 8 e 14 delcodice). Tuttavia, la comunicazione di informazioni di cui all'articolo 7 e idiritti di cui all'articolo 11 dello standard sulla privacy si applicanosoltanto ai "partecipanti". Anche se soltanto gli atleti e il loropersonale di sostegno saranno tenuti a fornire i propri dati personali allaWADA, il Gruppo di lavoro ritiene che un uso coerente dei termini all'internodello standard sulla privacy e del codice contribuirebbe ad evitare ogniconfusione.

• Terzi

L'impiego del termine "terzi",che ricorre tra l'altro all'articolo 14.6 del codice e all'articolo 8.3 dellostandard sulla privacy, non è definito. Il Gruppo di lavoro suggerisce che sene fornisca una definizione.

• Dati personali

L'articolo 3.2 dello standard definisce idati personali come "qualsiasi informazione, incluse senza limitazioni leinformazioni personali sensibili, concernente un partecipante identificato oidentificabile". Tenendo presente in particolare quanto precede, il Gruppodi lavoro raccomanda di ampliare questa definizione e di sostituire il termine"partecipante" con il termine "persona".

Quanto all'anonimizzazione dei datipersonali (di cui ad esempio all'articolo 10 dello standard), il Gruppo dilavoro fa riferimento al suo Parere 4/2007 sul concetto di dati personali per comprendere cosa la direttiva intendaper "anonimizzazione/dati anonimi".

Il Gruppo di lavoro osserva che, fattaeccezione per l'articolo 9 (Garantire la sicurezza dei dati personali), lostandard sulla privacy non contempla altre garanzie per la protezione dei datisanitari e giudiziari elaborati nell'ambito delle attività antidoping.

• Agenti terzi

Il Gruppo di lavoro ritiene che ilconcetto di "agenti terzi" impiegato all'articolo 4.1 dello standard includa i subcontraentiai sensi dell'articolo 2, lettera e) della direttiva 95/46/CE. Su questopresupposto si basano le altre osservazioni su tale concetto (v. commenti sullasicurezza del trattamento, relativi all'articolo 9.4 dello standard), il cuicampo di applicazione dovrebbe essere circoscritto con precisione.

3.2.2. Finalità del trattamento deidati personali

Sarebbe opportuno definire e precisare lefinalità specifiche del trattamento dati effettuato ai sensi del codice. Nonsono sufficienti il mero riferimento al trattamento dei dati da parte delleorganizzazioni antidoping "nell'ambito delle loro attivitàantidoping" (articolo 4.1 dello standard sulla privacy) e la letteradell'articolo 5.1 dello stesso standard ("le organizzazioni antidoping devonotrattare i dati personali solo ove necessario e opportuno per ottemperare aiproprio obblighi ai sensi del codice e degli standard internazionali").L'articolo 5.3 si riferisce a varie finalità per le quali è possibile trattarei dati, ma non è chiaro come tali finalità, di diverso tenore letterale, sidebbano intendere; il Gruppo di lavoro suggerisce pertanto di chiarire questopunto. Allo stesso modo, andrebbero precisate le finalità che sottendono lacomunicazione di dati personali ad altre organizzazioni antidoping indicateall'articolo 8.1.

Il Gruppo di lavoro sottolinea inoltre lanecessità di rispettare il principio della finalità e il requisito dellacompatibilità del trattamento successivo dei dati con la finalità per la qualei dati sono stati inizialmente raccolti.

3.2.3. Necessità e proporzionalità deidati personali

Lo standard sulla privacy non distinguetra le varie categorie di soggetti interessati (atleti, personale di sostegno,terzi). Tuttavia, l'applicazione del principio di proporzionalità dipenderàdalla categoria di appartenenza della persona. Lo standard sulla privacydovrebbe essere pertanto modificato di conseguenza.

L'articolo 5.3 dello standard dovrebbespecificare quali dati o categorie di dati personali siano necessari perottenere le finalità espresse alle lettere a), b) e c), tenendo conto deiprincipi di necessità e proporzionalità. Come già esposto, l'applicazione diquesti principi varierà in funzione delle categorie di persone di cui sarannotrattati i dati (atleta, personale di sostegno).

3.2.4. Accuratezza dei dati personali

L'articolo 5.4 dello standard stabilisceche i dati personali trattati devono essere esatti, completi e aggiornati.L'ultima frase del paragrafo sembra però ridimensionare l'obbligo che incombealle organizzazioni antidoping, trasferendo quasi la responsabilità dalresponsabile del trattamento al diretto interessato⁸. Il commentotende a confermare questa impressione. A tale riguardo, il Gruppo di lavorosottolinea che, conformemente all'articolo 6, lettera d) della direttiva,devono essere prese tutte le misure ragionevoli per cancellare o rettificare idati inesatti o incompleti rispetto alle finalità per le quali sono rilevati osono successivamente trattati, cancellati o rettificati. Questo compito spettaal responsabile del trattamento, se necessario, in risposta alla domanda direttifica degli interessati.

3.2.5. Informazioni ai partecipanti

Il Gruppo di lavoro richiama l'attenzionesulle prescrizioni degli articoli 10 e 11 della direttiva 95/46/CE, inparticolare in riferimento all'obbligo di fornire, oltre all'identità delresponsabile del trattamento, anche quella del suo rappresentante.

L'articolo 7.2 dello standard stabilisceche, quando i dati personali non sono raccolti presso il partecipante, quest'ultimo è informato"il più rapidamente possibile". Per essere conforme alla direttiva(articolo 11, paragrafo 1), questa informazione deve avvenire al momento dellaregistrazione dei dati o qualora sia prevista una comunicazione dei dati a unterzo, al più tardi all'atto della prima comunicazione dei medesimi.

Il Gruppo di lavoro fa inoltre osservareche nel commento all'articolo 7.2, l'espressione [dovrebbe (…) avere unaccesso ragionevole alle informazioni] ridimensiona il diritto all'informazione degli interessati eribadisce che tale diritto è fondamentale ed è parte integrante del requisitodi trasparenza del trattamento dei dati. Nel commento all'articolo 7.2 siafferma inoltre che le organizzazioni antidoping dovrebbero garantire aipartecipanti un trattamento dei dati personali ragionevolmente trasparente. Il Gruppo di lavorosuggerisce di eliminare la parola "ragionevolmente". Nel commento èprevista un'eccezione alla fornitura di informazioni (limitata nel tempo). IlGruppo di lavoro comprende il contesto in cui si inserisce l'eccezione, ciònondimeno desidera indicare le norme pertinenti: si prega di rilevare che ladirettiva 95/46/CE, in circostanze eccezionali, consente limitazioniall'obbligo di fornire informazioni "quando, in particolare nel trattamentodi dati a scopi statistici, o di ricerca storica o scientifica, l'informazionedella persona interessata si rivela impossibile o richiede sforzisproporzionati o la registrazione o la comunicazione è prescritta perlegge". Si tratta di limitazioni da interpretare in maniera restrittiva.

Il Gruppo di lavoro ha esaminato daultimo la quinta edizione della Athlete Guide (guida dell'atleta), consultabileon-line sul sito Internet dell'Agenzia Mondiale Antidoping (WADA)⁹,e propone di inserire, in una prossima edizione, una settima parte concernentela protezione della vita privata e dei dati personali degli atleti, in modotale da contribuire a una migliore informazione di questi ultimi.

3.2.6. Diritti dei partecipantirispetto ai dati personali

Lo standard riconosce agli atleti e alloro personale di supporto il diritto di accedere alle informazioni.

Ai sensi dell'articolo 12 delladirettiva, l'interessato ha il diritto di ottenere dal responsabile deltrattamento l'informazione almeno sulle finalità dei trattamenti, sullecategorie di dati trattati, sui destinatari o sulle categorie di destinataricui sono comunicati i dati.

Questi elementi non sono contemplatinello standard.

Lo standard prevede che in alcuni casi leorganizzazioni antidoping non siano tenute a rispondere alle richieste diaccesso ai dati. Il Gruppo di lavoro osserva a questo proposito che l'eccezionedi cui all'articolo 11.1 dello standard, formulata in termini molto vaghi (unlessto do so in a particular case would conflict with the Anti-DopingOrganization's ability to fulfil its obligations under the Code ("a condizione che ciò noncontrasti, in un caso particolare, con la capacità dell'organizzazioneantidoping di rispettare i suoi obblighi ai sensi del codice"), nonsembra, ad un primo esame, essere conforme agli articoli 12 e 15 delladirettiva. Il Gruppo di lavoro prende atto della spiegazione offerta inproposito dalla WADA, secondo la quale l'eccezione riguarda dati personalirilevati e impiegati nel contesto di procedimenti di infrazione della normativaantidoping e dati trattati in sede di pianificazione dei controlli antidoping.Tuttavia, ritiene che a priori non ci sarebbero ragioni per negare l'accesso ai dati relativi aprocedimenti di violazione della normativa antidoping.

Parimenti, l'eccezione formulataall'articolo 11.2 ("richieste eccessive per la loro portata o frequenza oche impongono un onere sproporzionato in termini di costi o sforzo")) nonsembra di primo acchito conforme agli articoli 12 e 15 della direttiva.

Con riferimento agli articoli 11.1 e11.2, il Gruppo di lavoro rileva che qualsiasi restrizione del diritto diaccesso è ammissibile soltanto se è conforme alle disposizioni dell'articolo 13della direttiva, che autorizza gli Stati membri ad adottare disposizionilegislative intese a limitare la portata degli obblighi e dei diritti previsti,qualora tale restrizione costituisca una misura necessaria alla salvaguardiadegli interessi elencati nel medesimo articolo.

Il Gruppo di lavoro osserva consoddisfazione che, quando ai partecipanti è negato il diritto di accesso,vengono sempre notificate loro le motivazioni scritte di tale rifiuto eribadisce che è possibile negare l'accesso soltanto alle condizioni stabiliteall'articolo 13 della richiamata direttiva, che va interpretato in manierarestrittiva.

Per quanto riguarda l'articolo 11.4, ilGruppo di lavoro sottolinea che, ai sensi dell'articolo 12, lettera c), delladirettiva sulla protezione dei dati, il responsabile del trattamento devenotificare ai terzi, ai quali sono stati comunicati i dati, qualsiasi rettificao cancellazione, effettuate a causa del carattere incompleto o inesatto deidati, se non si dimostra che è impossibile o implica uno sforzo sproporzionato.Per essere compatibile con la normativa Il Gruppo di lavoro propone inoltre cheil codice contempli il diritto di appello e il diritto all'indennizzo per dannisubiti a causa di un trattamento incompatibile con lo standard.

3.2.7. Sicurezza del trattamento

Per quanto riguarda i subcontraenti a cuile organizzazioni antidoping potrebbero avere fatto ricorso (agenti terzi– punto 9.4), il Gruppo di lavoro rammenta le norme previste agliarticoli 16 e 17 della direttiva 95/46/CE, in particolare l'obbligo delresponsabile del trattamento di scegliere un incaricato del trattamento chepresenti garanzie sufficienti in merito alle misure di sicurezza tecnica e diorganizzazione dei trattamenti da effettuare.

3.2.8. Controllo e vigilanza relativiall'applicazione del codice e dello standard sulla privacy

L'articolo 8.3 del progetto di standardstabilisce che un'organizzazione antidoping può segnalare alla WADA l'eventualeinosservanza dello standard da parte di un'altra organizzazione. La WADA hacomunicato al Gruppo di lavoro che il rispetto dello standard è assicuratoanche grazie a valutazioni periodiche delle organizzazioni antidoping eall'invio di questionari online da parte di queste ultime alla WADA. Il Gruppodi lavoro si chiede come la WADA abbia finora assolto il compito di vigilaresul rispetto dello standard. Il controllo sull'attuazione dei principi inmateria di privacy derivanti dal codice e dallo standard, inclusal'applicazione di sanzioni adeguate, è di importanza fondamentale per garantirel'efficacia del codice e dello standard.

3.3. Fondamenti giuridici per iltrattamento dei dati

Il Gruppo di lavoro si rammarica che nonsi sia tenuto conto delle sue osservazioni in merito alla validità del consensodel partecipante, e asserisce che quest'ultimo non è conforme ai requisitistabiliti dall'articolo 2, lettera h), della direttiva 95/46/CE, che perconsenso intende "qualsiasi manifestazione di volontà libera, specificae informata con la quale la persona interessata accetta che i dati personaliche la riguardano siano oggetto di un trattamento". Tenuto conto delle sanzioni edelle conseguenze previste nell'eventualità che i partecipanti si sottragganoagli obblighi imposti dal codice (ad esempio fornire le informazioni sul luogodi permanenza), il Gruppo di lavoro non può in nessun caso considerare liberoil consenso dato¹⁰.

La direttiva 95/46/CE vieta inoltre iltrattamento dei dati sensibili, quali i dati relativi alla salute e quelli cherivelano l'origine razziale o etnica, salvo ricorra un motivo valido ai sensidel suo articolo 8. L'articolo 6.2 dello standard sulla privacy propone che iltrattamento di dati sensibili avvenga previo consenso. In linea di principio,l'articolo 8, paragrafo 2, lettera a), della direttiva considera il consensoquale fondamento giuridico per il trattamento. Tuttavia, le osservazioniprecedentemente formulate in tema di consenso valgono anche in questo contesto.

Il Gruppo di lavoro rammenta inoltre chela direttiva non ammette il trattamento di dati relativi alle infrazioni sullabase del consenso dell'interessato (articolo 8, paragrafo 5, della direttiva95/46/CE).

Concludendo, il trattamento dei dati nonpuò essere legittimato dal consenso come definito dall'articolo 7, lettera a) edall'articolo 8, paragrafo 2, lettera a), della direttiva 95/46/CE, ma puòeventualmente trarre fondamento dall'articolo 7, lettera c) e dall'articolo 8,paragrafo 4, della direttiva, qualora la legislazione vigente autorizzi leorganizzazioni antidoping a effettuarlo. Se si invoca l'applicazionedell'articolo 8, paragrafo 4, il Gruppo di lavoro ricorda che la legislazionenazionale o la decisione dell'autorità di controllo devono essere subordinate agaranzie adeguate per la protezione della vita privata e dei dati e basarsi sumotivi di interesse pubblico rilevante. Di conseguenza, secondo l'articolo 8,paragrafo 4, l'interesse pubblico rilevante di un terzo non sarebbesufficiente.

Senza nulla togliere alle osservazioniesposte in ordine al consenso, il Gruppo di lavoro prende atto consoddisfazione che in virtù dell'attuale versione dello standard leorganizzazioni antidoping trattano i dati personali soltanto se la legislazionevigente le autorizza espressamente in tal senso.

Il Gruppo di lavoro ritiene chel'articolo 7, lettera e), della direttiva 95/46/CE possa fornire una basegiuridica per il trattamento, dal momento che le organizzazioni antidopinghanno natura pubblica, comportante compiti pubblici nazionali chiaramentedefiniti che le autorizzano, ai sensi della legislazione nazionale, a trattarei dati necessari al compimento delle loro mansioni nel rispetto delledisposizioni della direttiva recepite nel diritto interno. Il Gruppo di lavoroconsidera tuttavia che sarebbe molto difficile per le organizzazioni antidopinginvocare il solo interesse legittimo (articolo 7, lettera f), della direttiva).La disposizione richiamata imporrebbe alle organizzazione antidoping diprocedere ad un "controllo sulla privacy" ponderando da un lato gliinteressi del responsabile del trattamento e dall'altro i diritti fondamentalie gli interessi della persona i cui dati sono trattati. La gravità delleintrusioni nella vita privata, che la lotta al doping così come ideata eattuata dalla WADA comporta, dovrebbero assumere un peso non indifferente inquesto contesto. Il Gruppo di lavoro rammenta poi che possono essere trattatisoltanto i dati necessari per raggiungere uno scopo preciso, e ciò solo qualoranon siano disponibili strumenti meno invasivi per conseguirlo.

Inoltre, come spiegato in precedenza,questi motivi non sarebbero sufficienti per legittimare il trattamento di datisensibili.

In particolare, per quanto concerne idati medici, ad esempio per le esenzioni a fini terapeutici, l'unico fondamentogiuridico ammissibile è costituito dalla legislazione nazionale che soddisfa lecondizioni di cui all'articolo 8, paragrafo 4, della direttiva 95/46/CE.

Quanto al trattamento di dati relativi asanzioni e infrazioni, può essere effettuato solo sotto controllo dell'autoritàpubblica, o se vengono fornite opportune garanzie sulla base del diritto nazionale,fatte salve le deroghe che possono essere fissate dallo Stato membro in base aduna disposizione nazionale che preveda garanzie appropriate e specifiche(articolo 8, paragrafo 5, della direttiva).

Pertanto, le organizzazioni antidopingdegli Stati membri possono trattare i dati relativi alle infrazionipubblicandoli in Internet o registrandoli in altri modi soltanto se lalegislazione nazionale o l'autorità competente per la protezione dei dati delloStato membro in cui opera il responsabile del trattamento forniscono unfondamento giuridico per il trattamento.

3.4. Il trasferimento dei dati nellabanca dati ADAMS in Canada e in altri paesi terzi

Se sia possibile o meno trasmettereliberamente dati personali dall'UE alla banca dati ADAMS in Canada senzagaranzie aggiuntive dipende dal livello di protezione dei dati personaliassicurato dal Canada. A questo proposito non sussiste alcuna decisione dellaCommissione concernente il Canada in generale, esiste però una decisione dellaCommissione riguardante l'adeguatezza della protezione fornita dalla leggecanadese sulla tutela delle informazioni personali e sui documenti elettronici(PIPEDA) ¹¹, che si applica soltanto alle organizzazioni del settoreprivato che rilevano, utilizzano o comunicano dati personali nell'ambito diattività commerciali.

Conformemente allo standard sullaprivacy, i dati personali concernenti gli atleti e il personale di supporto"...sono conservati dalla WADA, che è soggetta al controllo delleautorità canadesi per la privacy…". Queste ultime non sono specificate.

L'accordo ADAMS descrive la WADA comeun'organizzazione senza fini di lucro, alla quale la legge PIPEDA non è pertanto applicabile. Non sonodisponibili altre informazioni dalle quali evincere che i dati personalitrasferiti dall'UE siano destinati a organizzazioni diverse dalla WADA,indipendentemente dai contratti di servizi che quest'ultima può avere stipulatocon terzi.

Con lettera del 10 novembre 2008 alGruppo di lavoro articolo 29, il commissario canadese per la privacy comunicache, in base alla sua analisi, la decisione di adeguatezza PIPEDA non si applica alla WADA, in quanto leattività quotidiane di quest'ultima non rivestono carattere commerciale.Tuttavia, il commissario afferma che la legge PIPEDA si applica alla CGI,un'impresa commerciale con cui la WADA avrebbe concluso un accordo per lagestione di ADAMS. I dettagli dell'accordo non sono noti, e risulta quindiimpossibile commentare eventuali ripercussioni di quest'ultimo sui dirittidegli interessati.

Sulla base delle informazioni ricevutedal commissario canadese per la privacy, che secondo il Gruppo di lavoro èl'autorità competente in materia, non è possibile stabilire con certezza se lalegge PIPEDA siapplichi alla WADA o ad ADAMS.

Il semplice fatto che la legge PIPEDA non si applica alla WADA e ad ADAMS nonsignifica automaticamente che l'autorità giudiziaria del luogo in cui esse sonosituate non assicuri un livello di protezione adeguato, ma allo stesso temponon significa che sia vero il contrario.

Al momento, l'uso di ADAMS non èobbligatorio. Tuttavia, in base al codice, le organizzazioni antidopingsoggette al diritto comunitario sono obbligate a condividere i dati personalicon gli enti pertinenti, nell'UE e oltre i suoi confini. Il codice obbligaquindi a trasferire i dati personali dall'UE. Ad esempio, le informazioniriguardanti i riscontri analitici di positività dovrebbero essere comunicatialla federazione internazionale e alla WADA¹², e le informazioni sulluogo di permanenza dell'atleta dovrebbero essere rese disponibili a tutte leorganizzazioni antidoping competenti per svolgere i controlli nei suoiconfronti¹³. Queste ultime possono essere ad esempio le federazioniinternazionali, il Comitato olimpico internazionale o le organizzazioni antidopingdi un paese terzo¹⁴.

Se il paese terzo verso il quale avvieneil trasferimento non garantisce un livello di protezione adeguato, iltrasferimento dall'UE deve avere luogo sulla base delle deroghe precisateall'articolo 26, paragrafo 1, della direttiva, ovvero essere accompagnato dagaranzie aggiuntive specificate all'articolo 26, paragrafo 2, della direttiva.Nella misura in cui gli standard di adeguatezza WP12¹⁵ impongono unlivello adeguato di protezione per i trasferimenti successivi, tali garanziedevono parimenti assicurare la protezione adeguata dei dati personali nei casidi trasferimento successivo. Le garanzie di cui all'articolo 26, paragrafo 2,devono essere autorizzate dagli Stati membri e notificate alla Commissione.

A titolo di orientamento perl'interpretazione delle esenzioni previste dall'articolo 26, paragrafo 1, delladirettiva, il Gruppo di lavoro fa riferimento al suo Documento di lavorosull'interpretazione comune dell'articolo 26, paragrafo 1, della direttiva95/46/CE, del 24 ottobre 1995 (WP114), e al capitolo 5 del suo Documento di lavoro:Trasferimenti di dati personali verso paesi terzi: applicazione degli articoli25 e 26 della direttiva europea sulla tutela dei dati (WP12)”. Il Gruppo dilavoro desidera in particolare sottolineare che le deroghe alla regola diadeguatezza di cui all'articolo 26, paragrafo 1, della direttiva riguardano perla maggior parte casi in cui il rischio per gli interessati è relativamentebasso, o in cui altri interessi prevalgono sul diritto dell'interessato allaprivacy e su altri diritti fondamentali. Di conseguenza, la lorointerpretazione dovrebbe essere restrittiva per evitare che l'eccezione diventila regola.

Per le ragioni a cui il Gruppo di lavoroha già accennato nel primo parere (WP 156), ribadite in questa sede, ilconsenso quale fondamento giuridico di tutti i trasferimenti dei dati degliatleti non è conforme a quanto disposto dall'articolo 2, lettera h), delladirettiva 95/46/EC. Sebbene l'avviso informativo per gli atleti allegato all'accordoche disciplina l'uso di ADAMS soddisfi molte delle condizioni relative alleinformazioni che il responsabile del trattamento deve fornire all'interessato,esso contiene disposizioni che destano una certa preoccupazione.

Con tale avviso si informa l'atleta che isuoi dati personali potranno essere resi disponibili a persone o partitilocalizzati fuori dal suo luogo di residenza, e che in alcuni paesi lanormativa sulla protezione dei dati può non essere equivalente alla normativanazionale locale; che può godere di alcuni diritti ai sensi della legislazionevigente, e che i quesiti sul trattamento possono essere inoltrati a qualsiasiautorità di controllo, alla WADA, alla federazione sportiva oall'organizzazione antidoping pertinente. Fatto quanto mai importante, l'atletaè informato della possibilità di revocare il proprio consenso in qualsiasimomento, ma in tal caso la WADA e le organizzazioni antidoping possono ritenereancora necessario proseguire con il trattamento. All'atleta viene anche comunicatoche la sua partecipazione a eventi sportivi organizzati dipende dalla suaadesione al codice, che comporta l'obbligo di partecipare volontariamente alleprocedure antidoping, e che la revoca del consenso equivarrà al rifiuto dipartecipare a tali procedure, fatto che potrebbe comportare per l'atletasanzioni disciplinari o di altra natura.

L'articolo 26, paragrafo 1, lettera b),prevede che i dati personali possano essere trasferiti verso un paese terzo seil trasferimento è necessario per l'esecuzione di un contratto tra la personainteressata ed il responsabile del trattamento o per l'esecuzione di misureprecontrattuali prese a richiesta di questa. Ove vi sia, ad esempio, uncontratto (di lavoro) concluso tra un atleta che compete a livello internazionalee un'organizzazione antidoping avente ad oggetto allenamenti e competizioni,tale contratto potrebbe legittimare il trasferimento dei dati personalinecessari a competere e allenarsi a livello internazionale, incluse leinformazioni sul luogo di permanenza dell'atleta, a persone interessate inpaesi terzi.

Tuttavia, tale eccezione dovrebbe essereinterpretata restrittivamente. Non si dovrebbero trasmettere altri datipersonali oltre a quelli strettamente necessari ai fini del contratto, enessuno oltre ai diretti interessati dovrebbe essere legittimato a riceverli.Il principio di necessità impone un legame stretto e concreto tra l'interessatoe lo scopo del contratto. Per tali ragioni, nell'esempio citato, latrasmissione alla WADA in qualità di "centro d'informazione" e l'usodi ADAMS per la trasmissione di dati ad altre parti interessate, sebbeneagevolino il trasferimento dei dati, non sarebbero considerati necessari perassicurare il rispetto del contratto tra l'atleta e l'organizzazione antidoping.Questa deroga non si applica nemmeno all'uso di ADAMS da parte diun'organizzazione antidoping disciplinata dal diritto comunitario per iltrattamento delle informazioni sul luogo di permanenza dell'atleta nellapropria giurisdizione.

Risulterebbe molto difficile avvalersidella deroga di cui all'articolo 26, paragrafo 1, lettera d), per iltrasferimento di dati "per la salvaguardia di un interesse pubblicorilevante". Il semplice interesse pubblico non sarebbe sufficiente:occorre che si tratti di una questione di interesse pubblico rilevante, chedeve essere qualificato come tale dalla legge nazionale applicabile airesponsabili del trattamento stabiliti nell'UE.

Il Gruppo di lavoro raccomanda inoltreche i trasferimenti di dati personali che possono essere definiti massicci,ripetuti o strutturali non dovrebbero trovare fondamento nelle deroghe. Sievidenzia poi che ogni trasferimento relativo a un singolo atleta e a unasingola finalità richiederebbe una giustificazione ai sensi dell'articolo 26,paragrafo 1, se si applicasse tale disposizione, il che non sarebbe facilmenterealizzabile.

In conclusione, le organizzazioniantidoping devono assicurare un contesto giuridico adeguato a tutti itrasferimenti internazionali di dati personali che avvengono sotto l'egida delcodice mondiale antidoping. In particolare, alla luce delle implicazioni deldiritto alla tutela della vita privata degli interessati, della naturastrutturale dei trasferimenti internazionali di dati e dei limiti all'uso dellederoghe di cui all'articolo 26, paragrafo 1, della direttiva, le organizzazioniantidoping dovrebbero ricorrere di preferenza a garanzie aggiuntive quali leclausole contrattuali, secondo quanto dispone l'articolo 26, paragrafo 2, nelqual caso sarà necessaria l'autorizzazione dello Stato membro.

3.5. Periodi di conservazione

Il Gruppo di lavoro è favorevoleall'inclusione nello standard di una norma relativa al periodo di conservazionedei dati e all'obbligo di cancellare tali dati quando non sono più necessaririspetto alle finalità per le quali sono stati trattati (articolo 10).

La WADA ha fatto presente al Gruppo dilavoro articolo 29 che le informazioni sul luogo di permanenza dell'atleta sonoconservate in ADAMS fino a 18 mesi. L'articolo 2.4 del codice recita che "Ognicombinazione di tre controlli mancati e/o la [mancata] presentazione diinformazioni entro un periodo di diciotto mesi, determinata dalleorganizzazioni antidoping con competenza sull'atleta, costituirà violazione delregolamento antidoping".

La maggior parte delle altreinformazioni, quali pianificazioni e risultati dei controlli, esenzioni a finiterapeutici e relativa documentazione, documenti riguardanti procedimenti diinfrazione ecc. sono conservati per non meno di otto anni. Il periodo di otto annisi giustifica in virtù dell'articolo 17 del codice, secondo il quale non puòessere avviata alcuna azione contro un atleta o altra persona per unaviolazione di una norma antidoping se tale azione non viene avviata entro ottoanni dalla data in cui sarebbe stata commessa la violazione (termine diprescrizione). Tale termine è ritenuto adeguato in quanto in questo arco ditempo possono svolgersi almeno due olimpiadi. Si giustifica inoltre per ilfatto che otto anni sono il periodo durante il quale il Tribunale arbitraledello sport potrà qualificare una nuova infrazione come seconda violazione. LaWADA osserva inoltre che le organizzazioni antidoping possono conservare i datipiù a lungo¹⁶.

Il Gruppo di lavoro mette in discussionela pertinenza e la necessità di tali periodi di conservazione. Quanto alleinformazioni sul luogo di permanenza dell'atleta, il Gruppo di lavoro nonritiene che vi sia una valida ragione per conservarle oltre la data che vi siriferisce.

Di conseguenza, l'articolo 14.3 del codicereca la regola seguente per la conservazione delle informazioni sul luogo dipermanenza dell'atleta: tali dati "sono usati esclusivamente per scopi dipianificazione, coordinamento e conduzione dei controlli e sono distruttiquando non sono più di interesse". Le informazioni sul luogo di permanenzadell'atleta possono essere conservate più a lungo se l'organizzazioneantidoping ritiene che si sia verificato un caso di inadempimento nella lorocomunicazione e/o un caso di controllo mancato. In queste ipotesi ègiustificato conservare i dati per 18 mesi, poiché tre omissioni nellapresentazione di informazioni sul luogo di permanenza dell'atleta equivalgonoad una presunta violazione della normativa antidoping. Tuttavia, una voltastabilito che non vi è stata alcuna violazione della detta normativa, leinformazioni sul luogo di permanenza dovrebbero essere cancellate. Il Gruppo dilavoro sollecita quindi la WADA a modificare la propria politica in materia diconservazione delle informazioni sul luogo di permanenza dell'atleta inconsiderazione di quanto esposto.

Il Gruppo di lavoro ritiene che laconservazione di dati relativi a condanne per un periodo massimo di otto annipotrebbe rivelarsi necessaria, tenuto conto del fatto che il Tribunalearbitrale dello sport considererebbe una nuova infrazione nel corso di taleperiodo come una seconda violazione.

Tuttavia, non tutti i dati dovrebberoessere conservati in vista di agire in giudizio. Ad esempio, il Gruppo dilavoro ritiene che una ragione per conservare i campioni potrebbe risiederenella possibilità, grazie a nuove tecnologie sviluppate in un momentosuccessivo, di individuare sostanze che non erano rintracciabili all'epoca delprelievo del campione. Non pare sia giustificabile conservare fino a otto anni ladocumentazione relativa alle esenzioni a fini terapeutici, alla pianificazionedei controlli, ai risultati negativi degli esami antidoping, ecc.

Il Gruppo di lavoro chiede alla WADA diriconsiderare le norme sul periodo limite di otto anni per qualsiasi violazionedella normativa antidoping. Tali violazioni spaziano dall'uso di sostanzevietate da parte dell'atleta al possesso di metodi e sostanze proibiti (v.articolo 2 del codice). Ci si chiede se la WADA ritenga giusto poter avviare unprocedimento nei confronti di un atleta otto anni dopo la presunta infrazione,indipendentemente dal tipo di violazione della normativa antidoping. Il Gruppodi lavoro suggerisce alla WADA di prendere in considerazione un approccio piùproporzionato, in funzione tra l'altro del tipo di violazione.

Il Gruppo di lavoro invita quindi la WADAa stabilire, sulla base dell'esperienza acquisita nel settore, periodi diconservazione massimi più ragionevoli per le varie categorie di dati personalie raccomanda inoltre alla WADA di garantire che le organizzazioni antidopingsiano obbligate a rispettare i periodi di conservazione.

3.6. Sanzioni

L'articolo 14.2.2 del codice prevede chenon oltre venti [20] giorni dall'accertamento di una violazione della normativaantidoping avvenuto nel corso di un'udienza tenutasi conformemente all'articolo8 del codice, o dalla rinuncia all'udienza ovvero dalla mancata opposizione neitermini all'addebito di una violazione della normativa antidoping, l'organizzazioneantidoping responsabile per la gestione dei risultati deve divulgare al pubblicola decisione checonclude il procedimento, inclusi il nome dell'atleta o di chiunque abbiacommesso la violazione, la disciplina sportiva, la norma antidoping a cui si è contravvenuto,la sostanza o il metodo proibiti e le relative sanzioni. Vanno divulgate al pubblicoanche le decisioni sulleimpugnazioni concernenti violazioni della normativa antidoping.

L'articolo 14.2.4 precisa inoltre che lapubblicazione deve avvenirealmeno visualizzando le informazioni necessarie sul sito Internet delleorganizzazioni antidoping per il periodo minimo di un [1] anno.

In sede di scambio di informazioni con ilGruppo di lavoro articolo 29, la WADA ha elencato numerose ragioni a favore deltrattamento di tali dati su Internet. In primo luogo, la WADA ribadisce chetali informazioni sono essenziali per la comunità sportiva: impedisconoall'atleta sospeso di partecipare in altra veste a sport organizzati (adesempio come allenatore, consulente tecnico o funzionario) o di competere inun'altra disciplina sportiva nel periodo in cui il codice glielo vieta. Insecondo luogo, la WADA utilizza la pubblicazione in Internet come deterrente:da un lato, ha la funzione di sanzione: la WADA spiega che "[g]li atletiche commettono violazioni della normativa antidoping sono consapevoli che, sescoperti, la notizia sarà diffusa". Dall'altro lato, la WADA chiarisce cheanche altri atleti dovrebbero "sapere che nessuno, nemmeno gli atleti dialto livello, possono violare la normativa restando impuniti¹⁷".

La WADA spiega poi che vengono pubblicatesoltanto le decisioni finali che accertano che un atleta si è reso responsabiledi una violazione della normativa antidoping. Quest'ultima affermazione parecontraddire il contenuto del già citato articolo 14.2.2.

La pubblicazione dei dati personali e, afortiori, dei dati relativi alle infrazioni – che può darsi non siano[ancora] state confermate da un procedimento di appello – rappresenta un'interferenzacon il diritto alla tutela della vita privata e alla protezione dei datipersonali.

Affinché tale interferenza siaammissibile, deve risultare necessaria per il conseguimento di un obiettivolegittimo ben preciso. Ciò implica, tra l'altro, che occorre un nessoragionevole di proporzionalità tra le conseguenze della misura per la personainteressata e tale obiettivo legittimo, e che non sono disponibili altri mezzimeno invasivi per raggiungerlo. Il trattamento deve essere inoltre giustificatoda un motivo valido, per il quale il Gruppo di lavoro fa riferimento alparagrafo 3.3. Di seguito, il Gruppo di lavoro esamina la necessità del trattamentoin vista di obiettivi determinati.

3.6.1. Impedire che gli atletipartecipino a eventi sportivi in altra veste o competano in un'altra disciplina

Al fine di impedire che gli atletipartecipino in altra veste a eventi sportivi organizzati o competano inun'altra disciplina nel periodo in cui il codice ne fa loro divieto, non è necessariaalcuna pubblicazione, ma sono sufficienti misure di portata più circoscritta.Il Gruppo di lavoro segnala ad esempio l'introduzione di un procedimento chepreveda la presentazione di un "certificato di buona condotta". Sequesto mezzo dovesse rivelarsi inefficace o inadeguato, potrebbe risultareindispensabile per il conseguimento dell'obiettivo una forma limitata dipubblicazione elettronica necessaria per gli incaricati del controllo del rispettoeffettivo delle sanzioni e per i responsabili delle associazioni sportive. La pubblicazionea tal fine dei dati personali su un sito Internet accessibile a chiunque è comunqueritenuta sproporzionata.

3.6.2. Effetto deterrente

Quanto all'effetto deterrente evidenziatodalla WADA, il Gruppo di lavoro non è convinto della necessità – e dellaconseguente proporzionalità – della pubblicazione su Internet di tutte lesanzioni. La valutazione comparativa tra gli interessi dell'incaricato deltrattamento da un lato, e i diritti fondamentali dell'interessato dall'altro,porta a concludere che la pubblicazione intesa come deterrente o sanzione, tramiteInternet o con altri mezzi, di dati personali relativi alle condanne, senzatenere conto delle circostanze del caso, risulta sproporzionata. Se un atletasi è reso colpevole di un'infrazione alla normativa antidoping, sarà punito conformementeagli articoli 9, 10 e/o 11 del codice, e sarà ad esempio squalificato,dichiarato non idoneo ovvero multato. La necessità di un'eventuale sanzioneaggiuntiva nella forma della pubblicazione potrebbe essere valutata soltantotenendo conto delle circostanze specifiche del caso. Gli elementi chedovrebbero essere presi in considerazione in quest'ambito sono ad esempio lagravità della violazione della normativa antidoping, il numero delleinfrazioni, il livello al quale l'atleta compete, l'eventuale minore età, la circostanzache il caso sia già stato discusso dai media, e le possibili conseguenze dellasanzione sui risultati delle competizioni e sulla classifica degli atleti.Qualora si ritenesse necessaria la pubblicazione delle sanzioni, si dovrebberoprendere in considerazione altri mezzi di divulgazione meno invasivi: potrebbe esseresufficiente anche una pubblicazione unica immediatamente successiva alladecisione, ad esempio tramite comunicato stampa. Inoltre, non sembra trovaregiustificazione il periodo minimo di un anno stabilito per la pubblicazionedelle sanzioni.

Quanto al secondo elemento dell'effettodeterrente, ossia la sensibilizzazione degli altri atleti, si dovrebberoconsiderare sufficienti misure meno invasive. La pubblicazione anonima di sanzioni,inclusi fattori pertinenti quali il livello al quale l'atleta compete e datistatistici potrebbero essere ugualmente propedeutici allo scopo perseguito.

Inoltre, qualsiasi pubblicazione suInternet è consideratapiù invasiva rispetto alla pubblicazione in altri tipi di media. Nel primo casonon solo è possibile che chiunque consulti i dati, ma questi ultimi, una voltapubblicati on-line, possono essere usati per altri scopi e ulteriormenteelaborati, e rimanere quindi di dominio pubblico anche dopo che la sanzione ha esauritoi suoi effetti e la pubblicazione sul sito cessa di essere anonima.

Nel primo parere 3/2008, il Gruppo dilavoro si era già interrogato in merito alla proporzionalità di una siffattapubblicazione, e nonostante ulteriori ricerche e chiarimenti forniti dallaWADA, per i motivi testé esposti la sua preoccupazione al riguardo permane. Concludendo,il Gruppo di lavoro ritiene che la pubblicazione su Internet per la durata diun anno non sia necessaria per conseguire gli obiettivi indicati dalla WADA, inquanto reputa che tali obiettivi possano essere raggiunti con modalità menodannose per gli interessati e che gli effetti delle misure siano sproporzionatirispetto agli obiettivi.

4. Conclusione

Conformemente alla sua analisi, il Gruppodi lavoro articolo 29 conferma il proprio sostegno all'iniziativa della WADA.Pur essendo consapevole dell'importanza – tra l'altro per la salute degliatleti – della lotta al doping nello sport, la WADA continua a portarlaavanti nel rispetto dei diritti fondamentali degli atleti e dei lorocollaboratori, in particolare il diritto alla protezione della vita privata edei dati personali.

Mentre l'adozione da parte della WADAdello Standard internazionale per la protezione della privacy e dei datipersonali rappresenta unsegnale incoraggiante dal punto di vista della sensibilizzazione in materia diprotezione dei dati personali, occorrerebbe sfatare il mito per cui essoassicura, nel mondo, un adeguato livello di protezione dei dati personalitrattati nell'UE, come impone il diritto comunitario. Alcune modificheapportate allo standard sulla privacy sono state indubbiamente introdotte inseguito al primo parere del Gruppo di lavoro che, nelle pagine precedenti, hacomunque evidenziato numerose questioni che restano problematiche. Il Grupposollecita la WADA, le organizzazioni nazionali antidoping, le federazionisportive nazionali e internazionali e i comitati olimpici a tenerle presenti, invitandoin particolare le organizzazioni nazionali a prenderle in considerazionedurante le loro attività. Il Gruppo di lavoro desidera porre in rilievo alcunedelle questioni sollevate, ribadendo in particolare che il consenso non puòessere invocato per legittimare il trattamento, indipendentemente dal fatto chesi riferisca o meno a dati sensibili ai sensi degli articoli 7 e 8 delladirettiva 95/46/CE. I trasferimenti di dati alla banca dati ADAMS, con sede inCanada, e i trasferimenti successivi a partire da ADAMS, dovranno soddisfare ilrequisito del livello di protezione adeguato nel paese di destinazione. Se talelivello non può essere ritenuto adeguato, i trasferimenti possono avveniresoltanto in alcuni casi eccezionali, elencati all'articolo 26 della direttiva,purché non siano periodici o massicci, circostanza che trasformerebbel'eccezione in regola. Quanto alla pubblicazione di sanzioni su Internet per unperiodo di un anno, il Gruppo di lavoro è del parere che questa misura non sianecessaria per conseguire gli obiettivi indicati dalla WADA, in quanto, da unlato, ritiene che essi possano essere raggiunti con modalità menopregiudizievoli per gli interessati e, dall'altro, che gli effetti della misurasiano sproporzionati rispetto a tali obiettivi. Anche alla luce del principio diproporzionalità il Gruppo di lavoro invita la WADA e le organizzazioniantidoping a riesaminare il rilevamento delle informazioni sul luogo dipermanenza dell'atleta nella sua forma odierna e, più in generale, l'attualeperiodo di conservazione dei dati trattati.

Il Gruppo di lavoro confida che tutte leorganizzazioni antidoping e gli altri attori coinvolti si assumano lerispettive responsabilità affinché si tenga conto di tutte le sue osservazionie sia garantito il pieno rispetto delle norme comunitarie in materia diprotezione dei dati personali.

Fatto a Bruxelles, il 6 aprile 2009

Per il Gruppo di lavoro

Il Presidente

Alex TÜRK

NOTE

1 Parere 3/2008 del 1°agosto 2008 sul progetto di standard internazionale del codice mondialeantidoping per la protezione della privacy (WP 156) http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2008/wp156_en.pdf

2 Le definizionimodificate di "trattamento", di "dati sensibili" (che nonriguardano più le opinioni politiche, le convinzioni religiose o filosofiche,l'appartenenza sindacale, la cui pertinenza in materia di lotta al doping èstata messain discussione dal Gruppo di lavoro (3.2)) e i chiarimenti forniti sub6.2. IlGruppo di lavoro ha altresì rilevato chel'articolo 6 è stato riscritto e oltreal consenso – d'ora innanzi consenso informato – prevede che iltrattamento delle "informazioni personali" debba avvenire "ovela legge lo consenta espressamente". Il Gruppo di lavoro ha inoltre presoatto di altre modifiche in linea con le sue osservazioni, tra cuil'elaborazione del commento all'articolo 9.2, l'eliminazione dell'espressione"chiaramente vessatorie", di cui all'articolo 11.2, relativamenteall'esercizio del diritto di accesso e, all'articolo 11.5, la previsione deldiritto dei partecipanti di inoltrare reclami presso un'organizzazione internazionaleantidoping.3 Finora sono stati adottati cinque standard: Lista di sostanzevietate, Standard internazionale per il controllo, Standard internazionale peri laboratori, Standard internazionale per le esenzioni terapeutiche e Standardinternazionale per la protezione della privacy e dei dati personali.

4 V. il sito della WADA:http://www.wada-ama.org

5 V. il sito delConsiglio d'Europa (STE n. 135). http://conventions.coe.int/Treaty/en/Treaties/Html/135.htm

6 V. ad esempio ilcommento all'articolo 11.3.1(e) dello Standard internazionale per il controllo.

7 V. pag. 6 dellerisposte della WADA al Gruppo di lavoro articolo 29 ("WADA Responses toWorking Party 29"), del 30 gennaio 2009.

8 "(…). “Althoughthis does not necessarily require Anti-Doping Organizations to verify theaccuracy of all Personal Information they Process, it does require thatAnti-Doping organizations correct or amend any Personal Information that theyaffirmatively know to incorrect or inaccurate as soon have possible” (Ciò nonobbliga necessariamente le organizzazioni antidoping a verificare l'accuratezzadi tutti i dati personali elaborati, bensì a rettificare o modificare senzaindugio i dati personali che sanno essere errati o imprecisi).

9 The Athlete Guide, quinta edizione, disponibilesul sito http://www.wada-ama.org europeo sulla protezionedei dati, l'espressione "where appropriate" ("laddoveappropriato") dovrebbe essere intesa esclusivamente ai sensi di queste dueeccezioni.

10 Ad esempio,l'articolo 6.3.a dello standard recita quanto segue: "Anti-DopingOrganizations shall inform Participants of the negative consequences that couldarise for their refusal to participate in doping controls, including Testingand of the refusal to consent to the Processing of Personal Information asrequired for this purpose" (Le organizzazioni antidoping informano ipartecipanti in merito alle conseguenze negative che potrebbero derivare dalloro rifiuto di partecipare ai controlli antidoping, e dal rifiuto di dare ilconsenso al trattamento dei dati personali necessari a tale scopo). Il commentoa questa disposizione aggiunge che ipartecipanti devono essere informati che unrifiuto potrebbe impedire il loro coinvolgimento negli sport organizzati e integrare,per gli atleti, una violazione del codice atta ad annullare, tra l'altro, irisultati delle competizioni.

11 Decisione dellaCommissione del 20 dicembre 2001 conforme alla direttiva 95/46/CE delParlamento europeo e del Consiglio e riguardante l'adeguatezza della protezionefornita dalla legge canadese sulla tutela delle informazioni personali e suidocumenti elettronici (2002/2/CE).

12 V. articolo 14.1.2del codice.

13 V. articolo 14.3 delcodice.

14 V. anche articolo 5.1del codice.

15 WP 9 (5005/98)Documento di lavoro: Trasferimenti di dati personali verso paesi terzi:applicazione degli articoli 25 e 26 della direttiva comunitaria sulla tuteladei dati (WP12)”.

16 V. pag. 8 dellerisposte della WADA al Gruppo di lavoro articolo 29 ("WADA Responses toWorking Party 29"), del 30 gennaio 2009.

17 V. pag. 9 dellerisposte della WADA al Gruppo di lavoro articolo 29 ("WADA Responses toWorking Party 29"), del 30 gennaio 2009.