Garante per la protezione
    dei dati personali


Autorizzazionen. 3/2013

Autorizzazioneal trattamento dei dati sensibili da parte degli organismi di tipo associativoe delle fondazioni

AUTORIZZAZIONEDEL 12 DICEMBRE 2013

(Pubblicata sulla Gazzetta Ufficiale n.302 del 27-12-2013)

Registrodei provvedimenti
 n. 566 del 12 dicembre 2013

ILGARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazione del dott. Antonello Soro,presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssaGiovanna Bianchi Clerici e della dott.ssa Licia Califano, componenti, e deldott. Giuseppe Busia, segretario generale;

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante ilCodice in materia di protezione dei dati personali (di seguito"Codice");

VISTO, in particolare, l'art. 4, comma 1, lett. d), del citatoCodice, il quale individua i dati sensibili;

CONSIDERATO che, ai sensi dell'art. 26, comma 1, del Codice, isoggetti privati e gli enti pubblici economici possono trattare i datisensibili solo previa autorizzazione di questa Autorità e, ove necessario, conil consenso scritto degli interessati, nell'osservanza dei presupposti e deilimiti stabiliti dal Codice, nonché dalla legge e dai regolamenti;

VISTO altresì il comma 4, lett. a), del citato art. 26, il qualestabilisce che i dati sensibili possono essere oggetto di trattamento anchesenza consenso, previa autorizzazione del Garante, "quando il trattamentoè effettuato da associazioni, enti ed organismi senza scopo di lucro, anche nonriconosciuti, a carattere politico, filosofico, religioso o sindacale, ivicompresi partiti e movimenti politici, per il perseguimento di scopideterminati e legittimi individuati dall'atto costitutivo, dallo statuto o dalcontratto collettivo, relativamente ai dati personali degli aderenti o deisoggetti che in relazione a tali finalità hanno contatti regolari conl'associazione, ente od organismo, sempre che i dati non siano comunicatiall'esterno o diffusi e l'ente, associazione od organismo determini idoneegaranzie relativamente ai trattamenti effettuati, prevedendo espressamente lemodalità di utilizzo dei dati con determinazione resa nota agli interessatiall'atto dell'informativa ai sensi dell'articolo 13";

VISTO il comma 3, lettere a) e b), del predetto art. 26, ilquale stabilisce che la disciplina di cui al relativo comma 1 non si applica altrattamento: a) dei dati relativi agli aderenti alle confessioni religiose e aisoggetti che con riferimento a finalità di natura esclusivamente religiosahanno contatti regolari con le medesime confessioni, effettuato dai relativiorgani, ovvero da enti civilmente riconosciuti, sempre che i dati non sianodiffusi o comunicati fuori delle medesime confessioni; b) dei dati riguardantil'adesione di associazioni od organizzazioni a carattere sindacale o dicategoria ad altre associazioni, organizzazioni o confederazioni a caratteresindacale o di categoria;

RILEVATO che le confessioni di cui alla lettera a) del medesimoart. 26, comma 3, devono determinare idonee garanzie relativamente aitrattamenti effettuati, nel rispetto dei principi indicati al riguardo conautorizzazione del Garante;

VISTO l'art. 181, comma 6, del Codice secondo cui le confessionireligiose che, prima dell'adozione del medesimo Codice, abbiano determinato eadottato nell'ambito del rispettivo ordinamento le garanzie di cui al predettoart. 26, comma 3, lett. a), possono proseguire l'attività di trattamento nelrispetto delle medesime;

CONSIDERATO che il trattamento dei dati in questione può essereautorizzato dal Garante anche d'ufficio con provvedimenti di caratteregenerale, relativi a determinate categorie di titolari o di trattamenti (art.40 del Codice);

CONSIDERATO che le autorizzazioni di carattere generale sinorarilasciate sono risultate uno strumento idoneo per prescrivere misure uniformia garanzia degli interessati, rendendo altresì superflua la richiesta disingoli provvedimenti di autorizzazione da parte di numerosi titolari deltrattamento;

RITENUTO opportuno rilasciare nuove autorizzazioni insostituzione di quelle in scadenza il 31 dicembre 2013, armonizzando leprescrizioni già impartite alla luce dell'esperienza maturata;

RITENUTO opportuno che anche tali nuove autorizzazioni sianoprovvisorie e a tempo determinato, ai sensi dell'art. 41, comma 5, del Codicee, in particolare, efficaci per il periodo di dodici mesi;

CONSIDERATA la necessità di garantire il rispetto di alcuniprincìpi volti a ridurre al minimo i rischi di danno o di pericolo che itrattamenti potrebbero comportare per i diritti e le libertà fondamentali,nonché per la dignità delle persone, e in particolare, per il diritto allaprotezione dei dati personali sancito dall'art. 1 del Codice;

CONSIDERATO che un elevato numero di trattamenti di datisensibili è effettuato da enti ed organizzazioni di tipo associativo e dafondazioni, per la realizzazione di scopi determinati e legittimi individuatidall'atto costitutivo, dallo statuto o da un contratto collettivo;

VISTO l'art. 11, comma 2, del Codice, il quale stabilisce che idati trattati in violazione della disciplina rilevante in materia ditrattamento di dati personali non possono essere utilizzati;

VISTI gli artt. 31 e seguenti del Codice e il disciplinaretecnico di cui all'Allegato B) al medesimo Codice, recanti norme e regole sullemisure di sicurezza;

VISTO l'art. 41 del Codice;

VISTI gli artt. 42 e seguenti del Codice in materia ditrasferimento di dati personali all'estero;

VISTO l'art. 167 del Codice;

VISTI gli atti d'ufficio;

VISTE le osservazioni dell'Ufficio formulate dal segretariogenerale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

AUTORIZZA

il trattamento dei dati sensibili di cui all'art. 4, comma 1,lett. d), del Codice da parte di associazioni, fondazioni, comitati ed altriorganismi di tipo associativo, secondo le prescrizioni di seguito indicate.

Prima di iniziare o proseguire il trattamento i sistemiinformativi e i programmi informatici sono configurati riducendo al minimol'utilizzazione di dati personali e di dati identificativi, in modo daescluderne il trattamento quando le finalità perseguite nei singoli casipossono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalità che permettano di identificare l'interessato solo in caso dinecessità, in conformità all'art. 3 del Codice.

1) Ambito di applicazione.

La presente autorizzazione è rilasciata:

a) alle associazioni anche non riconosciute, aipartiti e ai movimenti politici, alle associazioni e alle organizzazionisindacali, ai patronati e alle associazioni di categoria, alle casse diprevidenza, alle organizzazioni assistenziali o di volontariato, nonché allefederazioni e confederazioni nelle quali tali soggetti sono riuniti inconformità, ove esistenti, allo statuto, all'atto costitutivo o ad un contrattocollettivo;

b) alle fondazioni, ai comitati e ad ogni altro ente,consorzio od organismo senza scopo di lucro, dotati o meno di personalitàgiuridica, ivi comprese le organizzazioni non lucrative di utilità sociale(Onlus);

c) alle cooperative sociali e alle società di mutuosoccorso di cui, rispettivamente, alle leggi 8 novembre 1991, n. 381 e 15aprile 1886, n. 3818.

L'autorizzazione è rilasciata altresì agli istituti scolastici,limitatamente al trattamento dei dati idonei a rivelare le convinzionireligiose e per le operazioni strettamente necessarie per l'applicazionedell'art. 310 del decreto legislativo 16 aprile 1994, n. 297 e degli artt. 3 e10 del decreto legislativo 19 febbraio 2004, n. 59.

Resta fermo l'obbligo per le confessioni religiose dideterminare, ai sensi dell'art. 26, comma 3, lett. a) del Codice, idoneegaranzie relativamente ai trattamenti effettuati nel rispetto dei principiindicati con la presente autorizzazione.

Ai sensi dell'art. 181, comma 6, del Codice, le confessionireligiose che, prima dell'adozione del medesimo Codice, abbiano determinato eadottato nell'ambito del rispettivo ordinamento le garanzie di cui all'art. 26,comma 3, lett. a), del Codice possono proseguire l'attività di trattamentoeffettuato dai relativi organi, ovvero da enti civilmente riconosciuti, nelrispetto delle medesime.

2) Finalità del trattamento.

L'autorizzazione è rilasciata per il perseguimento di scopideterminati e legittimi individuati dall'atto costitutivo, dallo statuto o dalcontratto collettivo, ove esistenti, e in particolare per il perseguimento difinalità culturali, religiose, politiche, sindacali, sportive o agonistiche ditipo non professionistico, di istruzione anche con riguardo alla libertà discelta dell'insegnamento religioso, di formazione, di ricerca scientifica, dipatrocinio, di tutela dell'ambiente e dei beni di interesse artistico estorico, di salvaguardia dei diritti civili, nonché di beneficenza, assistenzasociale o socio-sanitaria.

Con riferimento al perseguimento delle finalità politiche, lapresente autorizzazione è rilasciata anche per il trattamento dei dati personalieffettuato in occasione delle operazioni connesse allo svolgimento delleelezioni primarie.

La presente autorizzazione è rilasciata, altresì, per far valereo difendere un diritto anche da parte di un terzo in sede giudiziaria, nonchéin sede amministrativa o nelle procedure di arbitrato e di conciliazione neicasi previsti dalla normativa comunitaria, dalle leggi, dai regolamenti o daicontratti collettivi.

La presente autorizzazione è rilasciata per l'esercizio deldiritto di accesso ai documenti amministrativi, nei limiti di quanto stabilitodalle leggi e dai regolamenti in materia.

Per i fini predetti, il trattamento dei dati sensibili puòriguardare anche la tenuta di registri e scritture contabili, di elenchi, diindirizzari e di altri documenti necessari per la gestione amministrativadell'associazione, della fondazione, del comitato o del diverso organismo, oper l'adempimento di obblighi fiscali, ovvero per la diffusione di riviste,bollettini e simili.

Qualora i soggetti di cui alle lettere a), b) e c) del punto 1si avvalgano di persone giuridiche o di altri organismi con scopo di lucro o diliberi professionisti per perseguire le predette finalità, ovvero richiedano adessi la fornitura di beni, prestazioni o servizi, la presente autorizzazione èrilasciata anche ai medesimi organismi, persone giuridiche o liberiprofessionisti.

I soggetti di cui alle predette lettere a), b) e c) possonocomunicare alle persone giuridiche e agli organismi con scopo di lucro titolaridi un autonomo trattamento, i soli dati sensibili strettamente indispensabiliper le attività di effettivo ausilio alle predette finalità, con particolareriferimento alle generalità degli interessati e ad indirizzari, sulla base diun atto scritto che individui con precisione le informazioni comunicate, lemodalità del successivo utilizzo, le particolari misure di sicurezza, nonché,ove previsto, le idonee garanzie determinate. La dichiarazione scritta diconsenso degli interessati deve porre tale circostanza in particolare evidenzae deve recare la precisa menzione dei titolari del trattamento e delle finalitàda essi perseguite. Le persone giuridiche e gli organismi con scopo di lucro,oltre a quanto previsto nei punti 4) e 6) in tema di pertinenza, non eccedenzae indispensabilità dei dati, possono trattare i dati così acquisiti solo perscopi di ausilio alle finalità predette, ovvero per scopi amministrativi econtabili.

3) Interessati ai quali i dati si riferiscono.

Il trattamento può riguardare i dati sensibili attinenti:

a) agli associati, ai soci e, se strettamenteindispensabile per il perseguimento delle finalità di cui al punto 2), airelativi familiari e conviventi;

b) agli aderenti, ai sostenitori o sottoscrittori,nonché ai soggetti che presentano richiesta di ammissione o di adesione o chehanno contatti regolari con l'associazione, la fondazione o il diversoorganismo;

c) ai soggetti che ricoprono cariche sociali oonorifiche;

d) ai beneficiari, agli assistiti e ai fruitori delleattività o dei servizi prestati dall'associazione o dal diverso organismo,limitatamente ai soggetti individuabili in base allo statuto o all'attocostitutivo, ove esistenti, o comunque a coloro nell'interesse dei quali isoggetti menzionati al punto 1) possono operare in base ad una previsionenormativa;

e) agli studenti iscritti o che hanno presentatodomanda di iscrizione agli istituti di cui al punto 1) e, qualora si tratti diminori, ai loro genitori o a chi ne esercita la potestà;

f) ai lavoratori dipendenti degli associati e deisoci, limitatamente ai dati idonei a rivelare l'adesione a sindacati,associazioni od organizzazioni a carattere sindacale e alle operazioninecessarie per adempiere a specifici obblighi derivanti da contratti collettivianche aziendali.

4) Categorie di dati oggetto di trattamento.

Fermo restando quanto previsto dall'autorizzazione generale n. 2/2013 con riferimento ai datiidonei a rivelare lo stato di salute e la vita sessuale, il trattamento puòavere per oggetto gli altri dati sensibili di cui all'art. 4, comma 1, lett. d)del Codice, idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose,filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti,sindacati, associazioni od organizzazioni a carattere religioso, filosofico,politico o sindacale.

Il trattamento può riguardare i dati e le operazioniindispensabili per perseguire le finalità di cui al punto 1) o, comunque, peradempiere ad obblighi derivanti dalla legge, dalla normativa comunitaria, dairegolamenti o dai contratti collettivi, che non possano essere perseguiti oadempiuti, caso per caso, mediante il trattamento di dati anonimi o di datipersonali di natura diversa.

A tal fine, anche mediante controlli periodici, deve essereverificata costantemente la stretta pertinenza, non eccedenza eindispensabilità dei dati rispetto ai predetti obblighi e finalità, inparticolare per quanto riguarda i dati che rivelano le opinioni e le intimeconvinzioni, anche con riferimento ai dati che l'interessato fornisce dipropria iniziativa. I dati che, anche a seguito delle verifiche, risultanoeccedenti o non pertinenti o non indispensabili non possono essere utilizzati,salvo per l'eventuale conservazione, a norma di legge, dell'atto o deldocumento che li contiene.

5) Modalità di trattamento.

Fermi restando gli obblighi previsti dagli artt. 11 e 14 delCodice, e dagli artt. 31 e seguenti del Codice e dall'Allegato B) al medesimoCodice, il trattamento dei dati sensibili deve essere effettuato unicamente conoperazioni, nonché con logiche e mediante forme di organizzazione dei datistrettamente indispensabili in rapporto alle finalità, agli scopi e agliobblighi di cui al punto 2).

I dati sono raccolti, di regola, presso l'interessato.

Fermo restando quanto previsto ai punti 2) e 7) della presenteautorizzazione, se è indispensabile, in conformità al medesimo punto 7), comunicareo diffondere dati all'esterno dell'associazione, della fondazione, del comitatoo del diverso organismo, il consenso scritto è acquisito previa idoneainformativa resa agli interessati ai sensi dell'art. 13 del Codice, la qualedeve precisare le specifiche modalità di utilizzo dei dati tenuto conto delleidonee garanzie adottate relativamente ai trattamenti effettuati.

6) Conservazione dei dati.

Nel quadro del rispetto dell'obbligo previsto dall'art. 11,comma 1, lett. e) del Codice, i dati sensibili possono essere conservati per unperiodo non superiore a quello necessario per perseguire le finalità e gliscopi di cui al punto 2), ovvero per adempiere agli obblighi ivi menzionati.

Le verifiche di cui all'ultimo periodo del punto 4) devonoriguardare anche la pertinenza, non eccedenza e indispensabilità dei datirispetto all'attività svolta dall'interessato o al rapporto che intercorre tral'interessato e i soggetti di cui al punto 1), tenendo presente il genere diprestazione, di beneficio o di servizio offerto all'interessato e la posizionedi quest'ultimo rispetto ai soggetti stessi.

7) Comunicazione e diffusione dei dati.

I dati sensibili possono essere comunicati a soggetti pubblici oprivati, e ove necessario diffusi, solo se strettamente pertinenti allefinalità, agli scopi e agli obblighi di cui al punto 2) e tenendo presenti lealtre prescrizioni sopraindicate.
Fatte salve eventuali specifichenormative di settore, i dati personali relativi a sostenitori, sovventori eaderenti a partiti, movimenti, associazioni o organizzazioni a caratterepolitico possono essere diffusi, per finalità volte a garantire la trasparenza,solo con il consenso scritto degli interessati, previo rilascio di un'idoneainformativa che evidenzi con sufficiente chiarezza la prevista diffusione.

I dati sensibili possono essere comunicati alle autoritàcompetenti se necessario per finalità di prevenzione, accertamento orepressione dei reati, con l'osservanza delle norme che regolano la materia.

I dati relativi allo stato di salute e alla vita sessuale nonpossono essere diffusi.

8) Richieste di autorizzazione.

I titolari dei trattamenti che rientrano nell'ambito diapplicazione della presente autorizzazione non sono tenuti a presentare unarichiesta di autorizzazione a questa Autorità, qualora il trattamento che siintende effettuare sia conforme alle prescrizioni suddette.

Le richieste di autorizzazione pervenute o che perverranno anchesuccessivamente alla data di adozione del presente provvedimento, devonointendersi accolte nei termini di cui al provvedimento medesimo.

Il Garante non prenderà in considerazione richieste diautorizzazione per trattamenti da effettuarsi in difformità alle prescrizionidel presente provvedimento, salvo che, ai sensi dell'art. 41 del Codice, illoro accoglimento sia giustificato da circostanze del tutto particolari o dasituazioni eccezionali non considerate nella presente autorizzazione.

9) Norme finali.

Restano fermi gli obblighi previsti dalla normativa comunitaria,da norme di legge o di regolamento che stabiliscono divieti o limiti in materiadi trattamento di dati personali.

Restano inoltre ferme le norme volte a prevenirediscriminazioni, e in particolare le disposizioni contenute nel decreto-legge26 aprile 1993, n. 122, convertito, con modificazioni, dalla legge 25 giugno1993, n. 205, in materia di discriminazione per motivi razziali, etnici,nazionali o religiosi e di delitti di genocidio, nel decreto legislativo 9luglio 2003, n. 215 di attuazione della direttiva 2000/43/CE per la parità ditrattamento tra le persone indipendentemente dalla razza e dall'origine etnicae nel decreto legislativo 9 luglio 2003, n. 216, di attuazione della direttiva2000/78/CE per la parità di trattamento in materia di occupazione e dicondizioni di lavoro.

10) Efficacia temporale.

La presente autorizzazione ha efficacia a decorrere dal 1gennaio 2014 e fino al 31 dicembre 2014, salve eventuali modifiche che ilGarante ritenga di dover apportare in conseguenza di eventuali novità normativerilevanti in materia.

La presente autorizzazione sarà pubblicata nella GazzettaUfficiale della Repubblica italiana.

Roma, 12dicembre 2013

Il Presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia