Garante per la protezione
    dei dati personali


Autorizzazione n. 4/2013

Autorizzazione al trattamento dei datisensibili da parte dei liberi professionisti

AUTORIZZAZIONE DEL 12 DICEMBRE 2013

(Pubblicata sulla Gazzetta Ufficiale n.302 del 27-12-2013)

Registro dei provvedimenti
 n. 567 del 12 dicembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

Indata odierna, con la partecipazione del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della dott.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

VISTOil decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia diprotezione dei dati personali (di seguito "Codice");

VISTO,in particolare, l'art. 4, comma 1, lett. d), del citato Codice, il qualeindividua i dati sensibili;

CONSIDERATOche, ai sensi dell'art. 26, comma 1, del Codice, i soggetti privati e gli entipubblici economici possono trattare i dati sensibili solo previa autorizzazionedi questa Autorità e, ove necessario, con il consenso scritto degliinteressati, nell'osservanza dei presupposti e dei limiti stabiliti dal Codice,nonché dalla legge e dai regolamenti;

VISTOil comma 4, lett. c), del medesimo art. 26, il quale stabilisce che i datisensibili possono essere oggetto di trattamento anche senza consenso, previaautorizzazione del Garante, quando il trattamento medesimo è necessario ai finidello svolgimento delle investigazioni difensive ai sensi della legge 7dicembre 2000, n. 397 o, comunque per far valere o difendere in sedegiudiziaria un diritto, sempre che i dati siano trattati esclusivamente pertali finalità e per il periodo strettamente necessario al loro perseguimento, eche, quando i dati siano idonei a rivelare lo stato di salute e la vitasessuale il diritto sia di rango pari a quello dell'interessato, ovveroconsista in un diritto della personalità o in altri diritti o libertàfondamentali;

CONSIDERATOche il trattamento dei dati in questione può essere autorizzato dal Garanteanche d'ufficio con provvedimenti di carattere generale, relativi a determinatecategorie di titolari o di trattamenti (art. 40 del Codice);

CONSIDERATOche le autorizzazioni di carattere generale sinora rilasciate sono risultateuno strumento idoneo per prescrivere misure uniformi a garanzia degliinteressati, rendendo altresì superflua la richiesta di singoli provvedimentidi autorizzazione da parte di numerosi titolari del trattamento;

RITENUTOopportuno rilasciare nuove autorizzazioni in sostituzione di quelle in scadenzail 31 dicembre 2013, armonizzando le prescrizioni già impartite alla lucedell'esperienza maturata;

RITENUTOopportuno che anche tali nuove autorizzazioni siano provvisorie e a tempodeterminato, ai sensi dell'art. 41, comma 5, del Codice e, in particolare,efficaci per il periodo di dodici mesi;

CONSIDERATAla necessità di garantire il rispetto di alcuni princìpi volti a ridurre alminimo i rischi di danno o di pericolo che i trattamenti potrebbero comportareper i diritti e le libertà fondamentali, nonché per la dignità delle persone,e, in particolare, per il diritto alla protezione dei dati personali sancitodall'art. 1 del Codice;

CONSIDERATOche un elevato numero di trattamenti di dati sensibili è effettuato da liberiprofessionisti iscritti in albi o elenchi professionali per l'espletamentodelle rispettive attività professionali;

VISTOl'art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati inviolazione della disciplina rilevante in materia di trattamento di datipersonali non possono essere utilizzati;

VISTIgli artt. 31 e seguenti del Codice e il disciplinare tecnico di cuiall'Allegato B) al medesimo Codice recanti norme e regole sulle misure disicurezza;

VISTOl'art. 41 del Codice;

VISTIgli artt. 42 e seguenti del Codice in materia di trasferimento di datipersonali all'estero;

VISTOl'art. 167 del Codice;

VISTIgli atti d'ufficio;

VISTEle osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla dott.ssa Augusta Iannini;

AUTORIZZA

iliberi professionisti iscritti in albi o elenchi professionali a trattare idati sensibili di cui all'art. 4, comma 1, lett. d), del Codice, secondo leprescrizioni di seguito indicate.

Primadi iniziare o proseguire il trattamento i sistemi informativi e i programmiinformatici sono configurati riducendo al minimo l'utilizzazione di datipersonali e di dati identificativi, in modo da escluderne il trattamento quandole finalità perseguite nei singoli casi possono essere realizzate mediante,rispettivamente, dati anonimi od opportune modalità che permettano diidentificare l'interessato solo in caso di necessità, in conformità all'art. 3del Codice.

1) Ambito di applicazione.

L'autorizzazioneè rilasciata, anche senza richiesta, ai liberi professionisti tenuti adiscriversi in albi o elenchi per l'esercizio di un'attività professionale informa individuale o associata, anche in conformità al decreto legislativo 2febbraio 2001, n. 96, o alle norme di attuazione dell'art. 24, comma 2, dellalegge 7 agosto 1997, n. 266, in tema di attività di assistenza e consulenza.

Sonoequiparati ai liberi professionisti i soggetti iscritti nei corrispondenti albio elenchi speciali istituiti anche ai sensi dell'art. 34 del regiodecreto-legge 27 novembre 1933, n. 1578 e successive modificazioni eintegrazioni, recante l'ordinamento della professione di avvocato.

L'autorizzazioneè rilasciata anche ai sostituti e agli ausiliari che collaborano con il liberoprofessionista ai sensi dell'art. 2232 del Codice civile, ai praticanti e aitirocinanti presso il libero professionista, qualora tali soggetti sianotitolari di un autonomo trattamento o siano contitolari del trattamentoeffettuato dal libero professionista.

Ilpresente provvedimento non si applica al trattamento dei dati sensibilieffettuato:

a) dagliesercenti le professioni sanitarie e dagli psicologi, dal personale sanitarioinfermieristico, tecnico e della riabilitazione, ai quali si riferiscel'autorizzazione generale n. 2/2013;

b) perla gestione delle prestazioni di lavoro o di collaborazione di cui si avvale illibero professionista o taluno dei soggetti sopra indicati, alla quale siriferisce l'autorizzazione generale n. 1/2013;

c) dasoggetti privati che svolgono attività investigative, dai giornalisti, daipubblicisti e dai praticanti giornalisti di cui agli artt. 26 e 33 della legge3 febbraio 1963, n. 69.

2) Interessati ai quali i dati si riferiscono ecategorie di dati.

Iltrattamento può riguardare i dati sensibili relativi ai clienti.

Idati sensibili relativi ai terzi possono essere trattati ove ciò siastrettamente indispensabile per l'esecuzione di specifiche prestazioniprofessionali richieste dai clienti per scopi determinati e legittimi.

Inogni caso, i dati devono essere strettamente pertinenti e non eccedentirispetto ad incarichi conferiti che non possano essere svolti mediante iltrattamento di dati anonimi o di dati personali di natura diversa.

Iltrattamento dei dati idonei a rivelare lo stato di salute e la vita sessualedeve essere effettuato anche nel rispetto della citata autorizzazione generalen. 2/2013.

3) Finalità del trattamento.

Iltrattamento dei dati sensibili può essere effettuato ai soli finidell'espletamento di un incarico che rientri tra quelli che il liberoprofessionista può eseguire in base al proprio ordinamento professionale, e inparticolare:

a) percurare gli adempimenti in materia di lavoro, di previdenza ed assistenzasociale e fiscale nell'interesse di altri soggetti che sono parte di unrapporto di lavoro dipendente o autonomo, ai sensi della legge 11 gennaio 1979,n. 12, che disciplina la professione di consulente del lavoro;

b) aifini dello svolgimento da parte del difensore delle investigazioni difensive dicui alla legge 7 dicembre 2000, n. 397, anche a mezzo di sostituti e diconsulenti tecnici, o, comunque, per far valere o difendere un diritto anche daparte di un terzo in sede giudiziaria, nonché in sede amministrativa o nelleprocedure di arbitrato e di conciliazione nei casi previsti dalla normativacomunitaria, dalle leggi, dai regolamenti o dai contratti collettivi. Qualora idati siano idonei a rivelare lo stato di salute e la vita sessuale, il dirittoda far valere o difendere deve essere di rango pari a quello dell'interessato,ovvero consistente in un diritto della personalità o in un altro diritto olibertà fondamentale e inviolabile;

c) per l'eserciziodel diritto di accesso ai documenti amministrativi, nei limiti di quantostabilito dalle leggi e dai regolamenti in materia, salvo quanto previstodall'art. 60 del Codice in relazione ai dati sullo stato di salute e sulla vitasessuale.

4) Modalità di trattamento.

Iltrattamento dei dati sensibili deve essere effettuato unicamente con logiche emediante forme di organizzazione dei dati strettamente indispensabili inrapporto all'incarico conferito dal cliente.

Restanofermi gli obblighi previsti dagli artt. 11 e 14 del Codice, nonché dagli artt.31 e seguenti del Codice e dall'Allegato B) al medesimo Codice.

Restainoltre fermo l'obbligo di informare l'interessato ai sensi dell'art. 13, commi1, 4 e 5, del Codice, anche quando i dati sono raccolti presso terzi, e diacquisire, ove necessario, il consenso scritto. L'avvocato può fornire taleinformativa e le notizie che deve indicare ai sensi della disciplina sulleindagini difensive in un unico contesto, anche mediante affissione nei localidello Studio e, se ne dispone, pubblicazione sul proprio sito Internet, ancheutilizzando formule sintetiche e colloquiali.

Sei dati sono raccolti per l'esercizio di un diritto in sede giudiziaria o per leindagini difensive (punto 3), lettera b)), l'informativa relativa ai datiraccolti presso terzi, e il consenso scritto, sono necessari solo se i datisono trattati per un periodo superiore a quello strettamente necessario alperseguimento di tali finalità, oppure per altre finalità con esse nonincompatibili.

Leinformative devono permettere all'interessato di comprendere agevolmente se iltitolare del trattamento è un singolo professionista o un'associazione diprofessionisti, ovvero se ricorre un'ipotesi di contitolarità tra più liberiprofessionisti o di esercizio della professione in forma societaria ai sensidel decreto legislativo 2 febbraio 2001, n. 96.

Restaferma la facoltà del libero professionista di designare quali responsabili oincaricati del trattamento i sostituti, gli ausiliari, i tirocinanti e ipraticanti presso il libero professionista, i quali, in tal caso, possono avereaccesso ai soli dati strettamente pertinenti alla collaborazione ad essirichiesta.

Analogacautela deve essere adottata in riferimento agli incaricati del trattamentopreposti all'espletamento di compiti amministrativi.

5) Conservazione dei dati.

Nelquadro del rispetto dell'obbligo previsto dall'art. 11, comma 1, lett. e), delCodice, i dati sensibili possono essere conservati, per il periodo di tempoprevisto dalla normativa comunitaria, da leggi, o da regolamenti e, comunque,per un periodo non superiore a quello strettamente necessario per adempiereagli incarichi conferiti.

Atal fine, anche mediante controlli periodici, deve essere verificata la strettapertinenza, non eccedenza e indispensabilità dei dati rispetto agli incarichiin corso, da instaurare o cessati, anche con riferimento ai dati chel'interessato fornisce di propria iniziativa. I dati che, anche a seguito delleverifiche, risultano eccedenti o non pertinenti o non indispensabili nonpossono essere utilizzati, salvo che per l'eventuale conservazione, a norma dilegge, dell'atto o del documento che li contiene. Specifica attenzione èprestata per l'indispensabilità dei dati riferiti a soggetti diversi da quellicui si riferiscono direttamente le prestazioni e gli adempimenti.

Idati acquisiti in occasione di precedenti incarichi possono essere mantenuti sepertinenti, non eccedenti e indispensabili rispetto a successivi incarichi.

6) Comunicazione e diffusione dei dati.

Idati sensibili possono essere comunicati e ove necessario diffusi, a soggettipubblici o privati, nei limiti strettamente pertinenti all'espletamentodell'incarico conferito e nel rispetto, in ogni caso, del segretoprofessionale.

Idati idonei a rivelare lo stato di salute possono essere comunicati solo senecessario per finalità di prevenzione, accertamento o repressione dei reati,con l'osservanza delle norme che regolano la materia.
I dati relativiallo stato di salute e alla vita sessuale non possono essere diffusi.

7) Richieste di autorizzazione.

Ititolari dei trattamenti che rientrano nell'ambito di applicazione dellapresente autorizzazione non sono tenuti a presentare una richiesta diautorizzazione a questa Autorità, qualora il trattamento che si intendeeffettuare sia conforme alle prescrizioni suddette.

Lerichieste di autorizzazione pervenute o che perverranno anche successivamentealla data di adozione del presente provvedimento, devono intendersi accolte neitermini di cui al provvedimento medesimo.

IlGarante non prenderà in considerazione richieste di autorizzazione pertrattamenti da effettuarsi in difformità alle prescrizioni del presenteprovvedimento, salvo che, ai sensi dell'art. 41 del Codice, il loroaccoglimento sia giustificato da circostanze del tutto particolari o dasituazioni eccezionali non considerate nella presente autorizzazione.

8) Norme finali.

Restanofermi gli obblighi previsti da norme di legge o di regolamento o dallanormativa comunitaria che stabiliscono divieti o limiti più restrittivi inmateria di trattamento di dati personali e, in particolare, dalle leggi 20maggio 1970, n. 300, e 5 giugno 1990, n. 135, come modificata dall'art. 178 delCodice, nonché dalle norme volte a prevenire discriminazioni.

Restanofermi, altresì, gli obblighi di legge che vietano la rivelazione senza giustacausa e l'impiego a proprio o altrui profitto delle notizie coperte dal segretoprofessionale, nonché gli obblighi deontologici o di buona condotta relativialle singole figure professionali.

9) Efficacia temporale.

Lapresente autorizzazione ha efficacia a decorrere dal 1 gennaio 2014 e fino al31 dicembre 2014, salve eventuali modifiche che il Garante ritenga di doverapportare in conseguenza di eventuali novità normative rilevanti in materia.

Lapresente autorizzazione sarà pubblicata nella Gazzetta Ufficiale dellaRepubblica italiana.

Roma, 12 dicembre 2013

Il Presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia