GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

PROVVEDIMENTO 21dicembre 2005
Autorizzazione altrattamento dei dati sensibili da parte di diverse categorie di titolari.

(Autorizzazione n.5/2005 – pubblicata sulla G.U. n.5 del 3/1/2006).

 

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

 

In data odierna, con la partecipazione del prof.Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti, e del dott. Giovanni Buttarelli, segretario generale;

Visto il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali;

Visto, in particolare, l'art. 4, comma 1, lett.d) del citato Codice, il quale individua i dati sensibili;

Considerato che, ai sensi dell'art. 26, comma 1,del Codice, i soggetti privati e gli enti pubblici economici possono trattare idati sensibili solo previa autorizzazione di questa Autorità e, ove necessario,con il consenso scritto degli interessati, nell'osservanza dei presupposti edei limiti stabiliti dal Codice, nonché dalla legge e dai regolamenti;

Considerato che il trattamento dei dati inquestione può essere autorizzato dal Garante anche d'ufficio con provvedimentidi carattere generale, relativi a determinate categorie di titolari o ditrattamenti (art. 40 del Codice);

Considerato che le autorizzazioni di caratteregenerale sinora rilasciate sono risultate uno strumento idoneo per prescriveremisure uniformi a garanzia degli interessati, rendendo altresì superflua larichiesta di singoli provvedimenti di autorizzazione da parte di numerosititolari del trattamento;

Ritenuto opportuno rilasciare nuoveautorizzazioni in sostituzione di quelle in scadenza il 31 dicembre 2005,armonizzando le prescrizioni già impartite alla luce dell'esperienza maturata;

Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato, ai sensi dall'art. 41,comma 5, del Codice, e, in particolare, efficaci per il periodo di diciottomesi;

Considerata la necessità di garantire ilrispetto di alcuni principi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertàfondamentali, nonché per la dignità delle persone, e in particolare, per ildiritto alla protezione dei dati personali sancito all'art. 1 del Codice;

Considerato che un elevato numero di trattamentidi dati sensibili è effettuato da parte di soggetti operanti in diversi settoridi attività economiche di seguito individuate;

Visto l'art. 167 del Codice;

Visto l'art. 11, comma 2, del Codice, il qualestabilisce che i dati trattati in violazione della disciplina rilevante inmateria di trattamento di dati personali non possono essere utilizzati;

Visti gli articoli 31 e seguenti del Codice e ildisciplinare tecnico di cui all'Allegato B) al medesimo Codice, recanti norme eregole sulle misure di sicurezza;

Visto l'art. 41 del Codice;

Visti gli atti d'ufficio;

Viste le osservazioni dell'Ufficio formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

Relatore il dott. Giuseppe Fortunato;

Autorizza

 

il trattamento dei dati sensibili di cuiall'art. 4, comma 1, lett. d), del Codice, fatta eccezione dei dati idonei arivelare la vita sessuale, secondo le prescrizioni di seguito indicate.

Prima di iniziare o proseguire il trattamento isistemi informativi e i programmi informatici sono configurati riducendo alminimo l'utilizzazione di dati personali e di dati identificativi, in modo daescluderne il trattamento quando le finalità perseguite nei singoli casipossono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalità che permettano di identificare l'interessato solo in caso dinecessità, in conformità all'art. 3 del Codice.

 

Capo I - Attività bancarie, creditizie,assicurative, di gestione di fondi, del settore turistico, del trasporto edaltre attività autorizzate

 

1) Soggetti ai quali è rilasciatal'autorizzazione:

a) imprese autorizzate all'eserciziodell'attività bancaria e creditizia o assicurativa ed

organismi che le riuniscono, anche se in statodi liquidazione coatta amministrativa;

b) società ed altri organismi che gestisconofondi-pensione o di assistenza, ovvero fondi o casse di previdenza;

c) società ed altri organismi di intermediazionefinanziaria, in particolare per la gestione o l'intermediazione di fondi comunidi investimento o di valori mobiliari;

d) società ed altri organismi che emettono cartedi credito o altri mezzi di pagamento, o che ne gestiscono le relativeoperazioni;

e) imprese che svolgono autonome attivitàstrettamente connesse e strumentali a quelle indicate nelle precedenti lettere,e relative alla rilevazione dei rischi, al recupero dei crediti, a lavorazionimassive di documenti, alla trasmissione dati, all'imbustamento o allosmistamento della corrispondenza, nonché alla gestione di esattorie otesorerie;

f) imprese che operano nel settore turistico oalberghiero o del trasporto, agenzie di viaggio e operatori turistici;

g) operatori economici autorizzati a svolgere lapropria attività in base ad autorizzazione comunque resa ai sensi delle normecontenute nel regio decreto 18 giugno 1931, n. 773 (T.u.l.p.s.) o nel decretolegislativo 31 marzo 1998, n. 112.

 

2) Finalità del trattamento

La presente autorizzazione è rilasciata, anchesenza richiesta, limitatamente ai dati e alle operazioni indispensabili peradempiere agli obblighi anche precontrattuali che i soggetti di cui al punto 1)assumono, nel proprio settore di attività, al fine di fornire specifici beni,prestazioni o servizi richiesti dall'interessato.

L'autorizzazione è rilasciata anche peradempiere o per esigere l'adempimento ad obblighi previsti, anche in materiafiscale e contabile, dalla normativa comunitaria, dalla legge, dai regolamenti,o dai contratti collettivi, o prescritti da autorità od organi di vigilanza odi controllo nei casi indicati dalla legge o dai regolamenti.

Il trattamento avente tali finalità puòriguardare anche la tenuta di registri e scritture contabili, di elenchi, diindirizzari e di altri documenti necessari per espletare compiti diorganizzazione o di gestione amministrativa di imprese, società, cooperative oconsorzi.

 

3) Interessati ai quali i dati si riferisconoe categorie di dati trattati

Il trattamento può riguardare i dati sensibiliattinenti ai soggetti ai quali sono forniti i beni, le prestazioni o i servizi,in misura strettamente pertinente a quanto specificamente richiestodall'interessato che, ove necessario, abbia manifestato il proprio consensoscritto ed informato. Nei medesimi limiti, è possibile trattare dati relativi aterzi, allorché non sia altrimenti possibile procedere alla fornitura albeneficiario dei beni, delle prestazioni o dei servizi.

Qualora il consenso sia richiesto nei confrontidi distinti titolari di trattamenti, la manifestazione di volontà deveriferirsi specificamente a ciascuno di essi.

 

4) Comunicazione e diffusione dei dati

I dati sensibili possono essere comunicati, neilimiti strettamente pertinenti al perseguimento delle finalità di cui al punto2), a soggetti pubblici o privati, ivi compresi fondi e casse di previdenza edassistenza o società controllate e collegate ai sensi dell'art. 2359 del codicecivile, nonché, ove necessario, ai familiari dell'interessato.

I titolari del trattamento, anche ai finidell'eventuale comunicazione ad altri titolari delle modifiche apportate aidati in accoglimento di una richiesta dell'interessato (art. 7, comma 3,lettera c), del Codice), devono conservare un elenco dei destinatari dellecomunicazioni effettuate, recante un'annotazione delle specifiche categorie didati comunicati.

I dati sensibili non possono essere diffusi.

 

Capo II - Sondaggi e ricerche

 

1) Soggetti ai quali è rilasciatal'autorizzazione e finalità del trattamento

Imprese, società, istituti ed altri organismi osoggetti privati, ai soli fini del compimento di sondaggi di opinione, diricerche di mercato o di altre ricerche campionarie.

Il sondaggio o la ricerca devono essereeffettuati per scopi puntualmente determinati e legittimi, notiall'interessato.

 

2) Interessati ai quali i dati si riferisconoe categorie di dati trattati

Il trattamento può riguardare i dati attinentiai soggetti che abbiano manifestato il proprio consenso informato e che abbianorisposto a questionari o ad interviste effettuate nell'ambito di sondaggi diopinione, di ricerche di mercato o di altre ricerche campionarie.

Il consenso deve essere manifestato in ogni casoper iscritto.

I dati personali di natura sensibile possonoessere trattati solo se il trattamento di dati anonimi non permette alsondaggio o alla ricerca di raggiungere i suoi scopi.

 

3) Conservazione dei dati

Il trattamento successivo alla raccolta non devepermettere di identificare gli interessati, neanche indirettamente, mediante unriferimento ad una qualsiasi altra informazione.

I dati personali, individuali o aggregati,devono essere distrutti o resi anonimi subito dopo la raccolta, e comunque nonoltre la fase contestuale alla registrazione dei campioni raccolti. Laregistrazione deve essere effettuata senza ritardo anche nel caso in cui icampioni siano stati raccolti in numero elevato.

Entro tale ambito temporale, resta ferma lapossibilità per il titolare della raccolta, nonché per i suoi responsabili oincaricati, di utilizzare i dati personali al fine di verificare presso gliinteressati la veridicità o l'esattezza dei campioni.

 

4) Comunicazione dei dati

I dati sensibili non possono essere nécomunicati, né diffusi.

I campioni del sondaggio o della ricerca possonoessere comunicati o diffusi in forma individuale o aggregata, sempre che nonpossano essere associati, anche a seguito di trattamento, ad interessatiidentificati o identificabili.

 

Capo III - Attività di elaborazione didati

 

1) Soggetti ai quali è rilasciatal'autorizzazione

Imprese, società, istituti ed altri organismi osoggetti privati, titolari autonomi di un'attività svolta nell'interesse dialtri soggetti, e che presuppone l'elaborazione di dati ed altre operazioni ditrattamento eseguite in materia di lavoro, ovvero a fini contabili,retributivi, previdenziali, assistenziali e fiscali.

 

2) Prescrizioni applicabili

Il trattamento è regolato dalle autorizzazioni:

a) n.1/2005, rilasciata il 21 dicembre 2005, concernente il trattamento dei dati sensibilia cura, in particolare, delle parti di un rapporto di lavoro qualora lefinalità perseguite siano quelle indicate al punto 3) di tale autorizzazione;

b) n.4/2005, rilasciata il 21 dicembre 2005, riguardante il trattamento dei datisensibili ad opera dei liberi professionisti e di altri soggetti equiparati,qualora le finalità perseguite siano quelle indicate al punto 3) di taleautorizzazione.

Qualora il consenso sia richiesto nei confrontidi distinti titolari di trattamenti, la manifestazione di volontà deveriferirsi specificamente a ciascuno di essi.

 

Capo IV - Attività di selezione delpersonale

 

1) Soggetti ai quali è rilasciatal'autorizzazione e finalità del trattamento

La presente autorizzazione è rilasciata, anchesenza richiesta, alle agenzie per il lavoro e agli altri soggetti che, inconformità alla legge, svolgono, nell'interesse di terzi, attività diintermediazione, ricerca e selezione del personale o supporto allaricollocazione professionale.

 

2) Interessati ai quali i dati si riferisconoe categorie di dati trattati

Il trattamento può riguardare i dati idonei arivelare lo stato di salute e l'origine razziale ed etnica dei candidatiall'instaurazione di un rapporto di lavoro o di collaborazione, solo se la lororaccolta è giustificata da scopi determinati e legittimi ed è strettamenteindispensabile per instaurare tale rapporto.

Il trattamento dei dati idonei a rivelare lostato di salute dei familiari o dei conviventi dei candidati è consentito conil consenso scritto degli interessati e qualora sia finalizzato alriconoscimento di uno specifico beneficio in favore dei candidati, inparticolare ai fini di un'assunzione obbligatoria o del riconoscimento di untitolo derivante da invalidità o infermità, da eventi bellici o da ragioni diservizio.

Qualora il consenso sia richiesto nei confrontidi distinti titolari di trattamenti, la manifestazione di volontà deveriferirsi specificamente a ciascuno di essi.

Il trattamento deve riguardare le soleinformazioni strettamente pertinenti a tale finalità, sia in caso di risposta aquestionari inviati anche per via telematica, sia nel caso in cui i candidatiforniscano dati di propria iniziativa, in particolare attraverso l'invio dicurricula.

Non è consentito il trattamento dei dati:

a) idoneia rivelare le convinzioni religiose, filosofiche o di altro genere, le opinionipolitiche, l'adesione a partiti, sindacati, associazioni a carattere religioso,filosofico, politico o sindacale, l'origine razziale ed etnica, e la vitasessuale;

b) inerentia fatti non rilevanti ai fini della valutazione dell'attitudine professionaledel lavoratore;

c) inviolazione delle norme in materia di pari opportunità o volte a prevenirediscriminazioni.

 

3) Comunicazione e diffusione dei dati

I dati idonei a rivelare lo stato di salute el'origine razziale ed etnica possono essere comunicati nei limiti strettamentepertinenti al perseguimento delle finalità di cui ai punti 1) e 2), a soggettipubblici o privati che siano specificamente menzionati nella dichiarazione diconsenso dell'interessato.

I dati sensibili non possono essere diffusi.

 

4) Norme finali

Restano fermi gli ulteriori obblighi previstidalla legge e dai regolamenti.

 

Capo V - Mediazione a fini matrimoniali

 

1) Soggetti ai quali è rilasciata l'autorizzazione

La presente autorizzazione è rilasciata alleimprese, alle società, agli istituti e agli altri organismi o soggetti privatiche esercitano, anche attraverso agenzie autorizzate, un'attività di mediazionea fini matrimoniali o di instaurazione di un rapporto di convivenza.

 

2) Finalità del trattamento

L'autorizzazione è rilasciata ai soli finidell'esecuzione dei singoli incarichi conferiti in conformità alle leggi e airegolamenti.

 

3) Interessati ai quali i dati si riferiscono

Il trattamento può riguardare i soli datisensibili attinenti alle persone direttamente interessate al matrimonio o allaconvivenza.

Non è consentito il trattamento di dati relativoa persone minori di età in base all'ordinamento del Paese

di appartenenza o, comunque, in base alla leggeitaliana.

 

4) Categorie di dati oggetto di trattamento

Il trattamento può riguardare i soli dati e lesole operazioni che risultino indispensabili in relazione allo specificoprofilo o alla personalità descritto o richiesto dalle persone interessate almatrimonio o alla convivenza.

I dati devono essere forniti personalmente daimedesimi interessati.

L'informativa preliminare al consenso scrittodeve porre in particolare evidenza le categorie di dati trattati

e le modalità della loro comunicazione a terzi.

 

5) Comunicazione dei dati

I dati possono essere comunicati nei limitistrettamente pertinenti all'esecuzione degli specifici incarichi ricevuti.

I titolari del trattamento, anche ai finidell'eventuale comunicazione ad altri titolari delle modifiche apportate aidati in accoglimento di una richiesta dell'interessato (art. 7, comma 3,lettera c), del Codice), devono conservare un elenco dei destinatari dellecomunicazioni effettuate, recante un'annotazione delle specifiche categorie didati comunicati.

L'eventuale diffusione anche per via telematicadi taluni dati sensibili deve essere oggetto di apposita autorizzazione diquesta Autorità.

 

6) Norme finali

Restano fermi gli ulteriori obblighi previstidalla legge e dai regolamenti, in particolare nell'ambito della legge penale edella disciplina di pubblica sicurezza, nonché in materia di tutela dei minori.

 

Capo VI - Prescrizioni comuni a tutti itrattamenti

 

Per quanto non previsto dai capi che precedono,ai trattamenti ivi indicati si applicano, altresì, le seguenti prescrizioni:

 

1) Dati idonei a rivelare lo stato di salute

Il trattamento dei dati idonei a rivelare lostato di salute deve essere effettuato anche nel rispetto dell'autorizzazionen. 2/2005, rilasciata il 21 dicembre 2005.

Il trattamento dei dati genetici non èconsentito nei casi previsti dalla presente autorizzazione.

 

2) Modalità di trattamento

Fermi restando gli obblighi previsti dagliarticoli 11 e 14 del Codice, dagli articoli 31 e seguenti del Codice edall'Allegato B) al Codice, il trattamento dei dati sensibili deve essereeffettuato unicamente con operazioni, nonché con logiche e mediante forme diorganizzazione dei dati strettamente indispensabili in rapporto alle finalitàindicate nei capi che precedono.

La comunicazione di dati all'interessato deveavvenire di regola direttamente a quest'ultimo o a un suo delegato (fermorestando quanto previsto dall'art. 84, comma 1, del Codice), in plico chiuso ocon altro mezzo idoneo a prevenire la conoscenza da parte di soggetti nonautorizzati, anche attraverso la previsione di distanze di cortesia.

Resta inoltre fermo l'obbligo di informarel'interessato, ai sensi dell'art. 13, commi 1, 4 e 5 del Codice, anche quando idati sono raccolti presso terzi.

 

3) Conservazione dei dati

Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lett. e) del Codice, i dati sensibili possono essereconservati per un periodo non superiore a quello necessario per perseguire lefinalità, ovvero per adempiere agli obblighi o agli incarichi menzionati neiprecedenti capi. A tal fine, anche mediante controlli periodici, deve essereverificata costantemente la stretta pertinenza, non eccedenza eindispensabilità dei dati rispetto al rapporto, alla prestazione o all'incaricoin corso, da instaurare o cessati, anche con riferimento ai dati chel'interessato fornisce di propria iniziativa. I dati che, anche a seguito delleverifiche, risultano eccedenti o non pertinenti o non indispensabili nonpossono essere utilizzati, salvo che per l'eventuale conservazione, a norma dilegge, dell'atto o del documento che li contiene. Specifica attenzione èprestata per l'indispensabilità dei dati riferiti a soggetti diversi da quellicui si riferiscono direttamente le prestazioni e gli adempimenti.

Restano fermi i diversi termini di conservazioneprevisti dalle leggi o dai regolamenti.

Resta altresì fermo quanto previsto nel capo IIin materia di sondaggi e di ricerche.

 

4) Richieste di autorizzazione

I titolari dei trattamenti che rientranonell'ambito di applicazione della presente autorizzazione non sono tenuti apresentare una richiesta di autorizzazione a questa Autorità, qualora iltrattamento che si intende effettuare sia conforme alle prescrizioni suddette.

Le richieste di autorizzazione pervenute o cheperverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo.

Il Garante non prenderà in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformità alleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art. 41 delCodice, il loro accoglimento sia giustificato da circostanze del tuttoparticolari o da situazioni eccezionali non considerate nella presente autorizzazione.

 

5) Norme finali

Restano fermi gli obblighi previsti da norme dilegge o di regolamento e dalla normativa comunitaria, che stabiliscono divietio limiti più restrittivi in materia di trattamento di dati personali e, inparticolare:

a) dallalegge 20 maggio 1970, n. 300;

b) dallalegge 5 giugno 1990, n. 135;

c) daldecreto legislativo 10 settembre 2003, n. 276.

Restano altresì fermi gli obblighi di legge chevietano la rivelazione senza giusta causa e l'impiego a proprio o altruiprofitto delle notizie coperte dal segreto professionale, nonché gli obblighideontologici, previsti anche dai codici deontologici e di buona condottaadottati in attuazione dell'art. 12 del Codice.

Resta ferma, infine, la possibilità didiffondere dati anonimi anche aggregati.

 

6) Efficacia temporale e disciplinatransitoria

La presente autorizzazione ha efficacia adecorrere dal 1 gennaio 2006 fino al 30 giugno 2007, salve eventuali modificheche il Garante ritenga di dover apportare in conseguenza di eventuali novità normativerilevanti in materia.

La presente autorizzazione sarà pubblicata nellaGazzetta Ufficiale della Repubblica italiana.

Roma, 21 dicembre 2005

IL PRESIDENTE

Pizzetti

IL RELATORE

Fortunato

IL SEGRETARIO GENERALE

Buttarelli