Garante per la protezione
    dei dati personali


Autorizzazione n. 6/2013

Autorizzazione al trattamento dei dati sensibili daparte degli investigatori privati

AUTORIZZAZIONE DEL 12 DICEMBRE 2013

(Pubblicata sulla Gazzetta Ufficiale n.302 del 27-12-2013)

Registro dei provvedimenti
n. 569 del 12dicembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazione del dott. Antonello Soro,presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssaGiovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e deldott. Giuseppe Busia, segretario generale;

Visto il decreto legislativo 30 giugno 2003, n. 196, recante ilCodice in materia di protezione dei dati personali (di seguito"Codice");

Visto, in particolare, l'art. 4, comma 1, lett. d), del citatoCodice, il quale individua i dati sensibili;

Considerato che, ai sensi dell'art. 26, comma 1, del Codice, isoggetti privati e gli enti pubblici economici possono trattare i datisensibili solo previa autorizzazione di questa Autorità e, ove necessario, conil consenso scritto degli interessati, nell'osservanza dei presupposti e deilimiti stabiliti dal Codice, nonché dalla legge e dai regolamenti;

Visto il comma 4, lett. c), del medesimo art. 26, il qualestabilisce che i dati sensibili possono essere oggetto di trattamento anchesenza consenso, previa autorizzazione del Garante, quando il trattamentomedesimo è necessario per svolgere una investigazione difensiva ai sensi dellalegge 7 dicembre 2000,  n. 397 o, comunque, per far valere o difendere insede giudiziaria un diritto, sempre che i dati siano trattati esclusivamenteper tali finalità e per il periodo strettamente necessario al loroperseguimento, e che, quando i dati siano idonei a rivelare lo stato di salutee la vita sessuale dell'interessato il diritto sia di rango pari a quello dell'interessato,ovvero consista in un diritto della personalità o in altri diritti o libertàfondamentali;

Considerato che il trattamento dei dati in questione può essereautorizzato dal Garante anche d'ufficio con provvedimenti di caratteregenerale, relativi a determinate categorie di titolari o di trattamenti (art.40 del Codice);

Considerato che le autorizzazioni di carattere generale sinorarilasciate sono risultate uno strumento idoneo per prescrivere misure uniformia garanzia degli interessati, rendendo altresì superflua la richiesta disingoli provvedimenti di autorizzazione da parte di numerosi titolari deltrattamento;

Ritenuto opportuno rilasciare nuove autorizzazioni insostituzione di quelle in scadenza il 31 dicembre 2013, armonizzando le prescrizionigià impartite alla luce dell'esperienza maturata;

Ritenuto opportuno che anche tali nuove autorizzazioni sianoprovvisorie e a tempo determinato, ai sensi dell'art. 41, comma 5, del Codice,e, in particolare, efficaci per il periodo di dodici mesi;

Considerata la necessità di garantire il rispetto di alcuniprincìpi volti a ridurre al minimo i rischi di danno o di pericolo che itrattamenti potrebbero comportare per i diritti e le libertà fondamentali,nonché per la dignità delle persone, e, in particolare, per il diritto allaprotezione dei dati personali sancito dall'art. 1 del Codice;

Considerato che il Garante ha rilasciato un'autorizzazione diordine generale relativa ai dati idonei a rivelare lo stato di salute e la vitasessuale (n. 2/2013), anche in riferimento alle predette finalità di ordinegiudiziario;

Considerato che numerosi trattamenti aventi tali finalità sonoeffettuati con l'ausilio di investigatori privati, e che è pertanto opportunointegrare anche le prescrizioni dell'autorizzazione n. 2/2013 mediante unulteriore provvedimento di ordine generale che tenga conto dello specificocontesto dell'investigazione privata, anche al fine di armonizzare leprescrizioni da impartire alla categoria;

Considerato che ulteriori misure ed accorgimenti sono stateprescritti dal Garante con il codice di deontologia e di buona condotta per itrattamenti di dati personali effettuati per svolgere investigazioni difensiveemanato ai sensi dell'art. 12 del Codice (deliberazione del Garante n. 60 del 6novembre 2008, in G.U. 24 novembre 2008, n. 275);

Visto l'art. 11, comma 2, del Codice, il quale stabilisce che idati trattati in violazione della disciplina rilevante in materia ditrattamento di dati personali non possono essere utilizzati;

Visti gli artt. 31 e seguenti del Codice e il disciplinaretecnico di cui all'Allegato B) al medesimo Codice recanti norme e regole sullemisure di sicurezza;

Visto l'art. 41 del Codice;

Visti gli artt. 42 e seguenti del Codice in materia di trasferimentodi dati personali all'estero;

Visto l'art. 167 del Codice;

Visti gli atti d'ufficio;

Viste le osservazioni dell'Ufficio formulate dal segretariogenerale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore la dott.ssa Augusta Iannini;

Autorizza

gli investigatori privati a trattare i dati sensibili di cuiall'art. 4, comma 1, lett. d), del Codice, secondo le prescrizioni di seguitoindicate.

Prima di iniziare o proseguire il trattamento i sistemiinformativi e i programmi informatici sono configurati riducendo al minimol'utilizzazione di dati personali e di dati identificativi, in modo daescluderne il trattamento quando le finalità perseguite nei singoli casipossono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalità che permettano di identificare l'interessato solo in caso dinecessità, in conformità all'art. 3 del Codice.

1) Ambito di applicazione.

La presente autorizzazione è rilasciata, anche senza richiesta,alle persone fisiche e giuridiche, agli istituti, agli enti, alle associazionie agli organismi che esercitano un'attività di investigazione privataautorizzata con licenza prefettizia (art. 134 del regio decreto 18 giugno 1931,n. 773, e successive modificazioni e integrazioni).

2) Finalità del trattamento.

Il trattamento può essere effettuato unicamente perl'espletamento dell'incarico ricevuto dai soggetti di cui al punto 1) e inparticolare:

a)per permettere a chi conferisce uno specifico incarico di far valere odifendere in sede giudiziaria un proprio diritto, che, quando i dati sianoidonei a rivelare lo stato di salute e la vita sessuale dell'interessato, deveessere di rango pari a quello del soggetto al quale si riferiscono i dati, ovveroconsistente in un diritto della personalità o in un altro diritto o libertàfondamentale;

b)su incarico di un difensore in riferimento ad un procedimento penale, perricercare e individuare elementi a favore del relativo assistito da utilizzareai soli fini dell'esercizio del diritto alla prova (art. 190 del codice di procedurapenale e legge 7 dicembre 2000, n. 397).

Restano ferme le altre autorizzazioni generali rilasciate aifini dello svolgimento delle investigazioni in relazione ad un procedimentopenale o per l'esercizio di un diritto in sede giudiziaria, in particolare:

a)nell'ambito dei rapporti di lavoro (autorizzazione n. 1/2013);

b) relativamenteai dati idonei a rivelare lo stato di salute e la vita sessuale (autorizzazione n. 2/2013);

c)da parte degli organismi di tipo associativo e delle fondazioni (autorizzazionen. 3/2013);

d)da parte dei liberi professionisti iscritti in albi o elenchi professionali,ivi inclusi i difensori e i relativi sostituti ed ausiliari (autorizzazione n. 4/2013);

e) relativamenteai dati di carattere giudiziario (autorizzazione n. 7/2013).

3) Categorie di dati e interessati ai quali i dati siriferiscono.

Il trattamento può riguardare i dati sensibili di cui all'art.4, comma 1, lett. d) del Codice, qualora ciò sia strettamente indispensabileper eseguire specifici incarichi conferiti per scopi determinati e legittiminell'ambito delle finalità di cui al punto 1), che non possano essere adempiutemediante il trattamento di dati anonimi o di dati personali di natura diversa.

I dati devono essere pertinenti e non eccedenti rispetto agliincarichi conferiti.

4) Modalità di trattamento.

Gli investigatori privati non possono intraprendere di propriainiziativa investigazioni, ricerche o altre forme di raccolta di dati. Taliattività possono essere eseguite esclusivamente sulla base di un appositoincarico conferito per iscritto, anche da un difensore, per le esclusivefinalità di cui al punto 2).

L'atto di incarico deve menzionare in maniera specifica ildiritto che si intende esercitare in sede giudiziaria, ovvero il procedimentopenale al quale l'investigazione è collegata, nonché i principali elementi difatto che giustificano l'investigazione e il termine ragionevole entro cuiquesta deve essere conclusa.

Fermi restando gli obblighi previsti dagli artt. 11 e 14 delCodice, nonché dagli artt. 31 e seguenti del Codice e dall'Allegato B) almedesimo Codice, il trattamento dei dati sensibili deve essere effettuatounicamente con operazioni, nonché con logiche e mediante forme diorganizzazione dei dati strettamente indispensabili in rapporto alle finalitàdi cui al punto 2).

L'interessato o la persona presso la quale sono raccolti i datideve essere informata ai sensi dell'art. 13 del Codice, ponendo in particolareevidenza l'identità e la qualità professionale dell'investigatore, nonché lanatura facoltativa del conferimento dei dati.

Nel caso in cui i dati siano raccolti presso terzi, è necessarioinformare l'interessato e acquisire il suo consenso scritto (art. 13, commi 1,4 e 5 e art. 26, comma 4, del Codice), solo se i dati sono trattati per unperiodo superiore a quello strettamente necessario per esercitare il diritto insede giudiziaria o per svolgere le investigazioni difensive, oppure se i datisono utilizzati per ulteriori finalità non incompatibili con quelleprecedentemente perseguite.

Il difensore o il soggetto che ha conferito l'incarico devonoessere informati periodicamente dell'andamento dell'investigazione, anche alfine di permettere loro una valutazione tempestiva circa le determinazioni daadottare riguardo all'esercizio del diritto in sede giudiziaria o al dirittoalla prova.

L'investigatore privato deve eseguire personalmente l'incaricoricevuto e non può avvalersi di altri investigatori non indicatinominativamente all'atto del conferimento dell'incarico, oppure successivamentein calce a esso qualora tale possibilità sia stata prevista nell'atto diincarico.

Nel caso in cui si avvalga di collaboratori interni designatiquali responsabili o incaricati del trattamento in conformità a quanto previstodagli artt. 29 e 30 del Codice, l'investigatore privato deve vigilare concadenza almeno settimanale sulla puntuale osservanza delle norme di legge edelle istruzioni impartite. Tali soggetti possono avere accesso ai soli datistrettamente pertinenti alla collaborazione ad essi richiesta.

Per quanto non previsto nella presente autorizzazione, iltrattamento dei dati idonei a rivelare lo stato di salute e la vita sessualedeve essere effettuato nel rispetto delle ulteriori prescrizioni contenutenell'autorizzazione generale n. 2/2013 e,per ciò che riguarda le informazioni relative ai dati genetici, nel rispettodell'autorizzazione  adottata ai sensi dell'art. 90 del Codice.

Il trattamento dei dati deve inoltre rispettare le prescrizionidel codice di deontologia e di buona condotta per i trattamenti di datipersonali effettuati per svolgere investigazioni difensive emanato ai sensidell'art. 12 del Codice (deliberazione del Garante n. 60 del 6 novembre 2008,in G.U. 24 novembre 2008, n. 275).

5) Conservazione dei dati.

Nel quadro del rispetto dell'obbligo previsto dall'art. 11,comma 1, lett. e), del Codice i dati sensibili possono essere conservati per unperiodo non superiore a quello strettamente necessario per eseguire l'incaricoricevuto.

A tal fine deve essere verificata costantemente, anche mediantecontrolli periodici, la stretta pertinenza, non eccedenza e indispensabilitàdei dati rispetto alle finalità perseguite e all'incarico conferito.

Una volta conclusa la specifica attività investigativa, iltrattamento deve cessare in ogni sua forma, fatta eccezione per l'immediatacomunicazione al difensore o al soggetto che ha conferito l'incarico i qualipossono consentire, anche in sede di mandato, l'eventuale conservazionetemporanea di materiale strettamente personale dei soggetti che hanno curatol'attività svolta, ai soli fini dell'eventuale dimostrazione della liceità ecorrettezza del proprio operato. Se è stato contestato il trattamento ildifensore o il soggetto che ha conferito l'incarico possono anche fornireall'investigatore il materiale necessario per dimostrare la liceità ecorrettezza del proprio operato, per il tempo a ciò strettamente necessario.

La sola pendenza del procedimento al quale l'investigazione ècollegata, ovvero il passaggio ad altre fasi di giudizio in attesa dellaformazione del giudicato, non costituiscono, di per se stessi, una giustificazionevalida per la conservazione dei dati da parte dell'investigatore privato.

6) Comunicazione e diffusione dei dati.

I dati possono essere comunicati unicamente al soggetto che haconferito l'incarico.

I dati non possono essere comunicati ad un altro investigatoreprivato, salvo che questi sia stato indicato nominativamente nell'atto diincarico e la comunicazione sia necessaria per lo svolgimento dei compitiaffidati.

I dati idonei a rivelare lo stato di salute possono esserecomunicati alle autorità competenti solo se ciò è necessario per finalità diprevenzione, accertamento o repressione dei reati, con l'osservanza delle normeche regolano la materia.

I dati relativi allo stato di salute e alla vita sessuale nonpossono essere diffusi.

7) Richieste di autorizzazione.

I titolari dei trattamenti che rientrano nell'ambito di applicazionedella presente autorizzazione non sono tenuti a presentare una richiesta diautorizzazione a questa Autorità, qualora il trattamento che si intendeeffettuare sia conforme alle prescrizioni suddette.

Le richieste di autorizzazione pervenute o che perverranno anchesuccessivamente alla data di adozione del presente provvedimento, devonointendersi accolte nei termini di cui al provvedimento medesimo.

Il Garante non prenderà in considerazione richieste diautorizzazione per trattamenti da effettuarsi in difformità alle prescrizionidel presente provvedimento, salvo che, ai sensi dell'art. 41 del Codice, illoro accoglimento sia giustificato da circostanze del tutto particolari o dasituazioni eccezionali non considerate nella presente autorizzazione.

8)Norme finali.

Restano fermi gli obblighi previsti dalla normativa comunitaria,ovvero da norme di legge o di regolamento, che stabiliscono divieti o limiti inmateria di trattamento di dati personali e, in particolare:

a)dagli artt. 4 (impianti e apparecchiature per finalità di controllo a distanzadei lavoratori) e 8 (indagini sulle opinioni del lavoratore o su altri fattinon rilevanti ai fini della valutazione dell'attitudine professionale) dellalegge 20 maggio 1970, n. 300 e dall'art. 10 (indagini sulle opinioni dellavoratore e trattamenti discriminatori) del decreto legislativo 10 settembre2003, n. 276;

b)dalla legge 5 giugno 1990, n. 135, in materia di sieropositività e di infezioneda HIV;

c)dalle norme volte a prevenire discriminazioni;

d)dall'art. 734-bis del codice penale, il quale vieta la divulgazione nonconsensuale delle generalità o dell'immagine della persona offesa da atti diviolenza sessuale.

Restano fermi, in particolare, gli obblighi previsti in tema diliceità e di correttezza nell'uso di strumenti o apparecchiature che permettonola raccolta di informazioni anche sonore o visive, ovvero in tema di accesso abanche dati o di cognizione del contenuto della corrispondenza e dicomunicazioni o conversazioni telefoniche, telematiche o tra soggetti presenti.

Resta ferma la facoltà per le persone fisiche di trattaredirettamente dati per l'esclusivo fine della tutela di un proprio diritto insede giudiziaria, anche nell'ambito delle investigazioni relative ad unprocedimento penale. In tali casi, il Codice non si applica anche se i datisono comunicati occasionalmente ad una autorità giudiziaria o a terzi, sempreche i dati non siano destinati ad una comunicazione sistematica o alladiffusione (art. 5, comma 3, del Codice).

9) Efficacia temporale.

La presente autorizzazione ha efficacia a decorrere dal 1gennaio 2014 fino al  31 dicembre 2014, salve eventuali modifiche che ilGarante ritenga di dover apportare in conseguenza di eventuali novità normativerilevanti in materia.

La presente autorizzazione sarà pubblicata nella GazzettaUfficiale della Repubblica italiana.

Roma,12 dicembre 2013

Il Presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia