Parere 4/2009 - WP 162

Secondo parere concernente lo standard internazionale dell'Agenzia Mondiale Antidoping (WADA) per la protezione della privacy e dei dati personali, le disposizioni pertinenti del codice WADA e le altre questioni inerenti la vita privata nell'ambito della lotta contro il doping nello sport da parte della WADA e di altre organizzazioni (nazionali) antidoping

adottato il 6 aprile 2009

 

Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito dalla direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995,

visti gli articoli 29 e 30, paragrafi 1, lettera a), e 3 della richiamata direttiva, e l'articolo 15, paragrafo 3, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio del 12 luglio 2002,

visto l'articolo 255 del trattato CE e il regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio, del 30 maggio 2001, relativo all'accesso del pubblico ai documenti del Parlamento europeo, del Consiglio e della Commissione,

visto il proprio regolamento interno,

ha adottato il presente documento:

 

1. Introduzione e contesto

Nel suo primo parere sull'argomento¹, il Gruppo di lavoro ha esaminato la compatibilità del progetto di Standard internazionale per la protezione della privacy e dei dati personali (in appresso "lo standard sulla privacy" o "lo standard") con il livello minimo di tutela previsto dalle norme europee sulla protezione dei dati. Pur essendosi espresso a favore di taluni aspetti dello standard, tra cui il riferimento alla direttiva 95/46/CE, il Gruppo di lavoro è giunto alla conclusione che fosse incompatibile con il livello minimo di protezione garantito dalla direttiva, e ha formulato alcune raccomandazioni.

Da allora, il progetto di standard è stato modificato ed è entrato in vigore il 1° gennaio 2009.

L'Agenzia Mondiale Antidoping (WADA) ha fornito informazioni supplementari in risposta alle precedenti richieste di chiarimenti del Gruppo di lavoro.

Quest'ultimo è lieto che alcune delle sue osservazioni siano state inserite nello standard sulla privacy², ma si rammarica che non si sia tenuto conto di altri suoi rilievi (v. oltre al punto 3.2).

Il presente parere ha ad oggetto questioni che, secondo il Gruppo di lavoro, rimangono problematiche nell'ambito delle norme europee sulla privacy e la protezione dei dati personali, ma non elabora nessuna conclusione formale in merito alla loro adeguatezza. Nel parere si rileva che lo standard fa esplicito riferimento al principio secondo cui l'insieme delle norme minime comuni da esso stabilite si applica alle organizzazioni antidoping, lasciando impregiudicate le norme o regole più severe che tali organizzazioni sono eventualmente tenute a osservare in base alle rispettive legislazioni nazionali.

La Convenzione internazionale contro il doping nello sport dell'UNESCO del 2005, ratificata da 25 dei 27 Stati membri dell'Unione europea, è stata conclusa al fine di promuovere l'attività della WADA a livello internazionale. La Convenzione non intacca i diritti e gli obblighi dei firmatari con riferimento ad altri accordi precedentemente conclusi (articolo 6), ma incoraggia la cooperazione tra Stati in presenza di circostanze adeguate, nel costante rispetto della legislazione nazionale, ossia dei provvedimenti emanati dagli Stati membri in attuazione della direttiva 95/46/CE. Il diritto comunitario prevede che, in caso di conflitto tra le disposizioni di un accordo internazionale e la normativa comunitaria, prevalga quest'ultima.

La Convenzione UNESCO non richiama concretamente né i diritti fondamentali in generale né il diritto alla protezione dei dati in particolare.

Il Gruppo di lavoro non può limitare le proprie osservazioni allo standard sulla privacy.

Infatti, poiché quest'ultimo contiene numerosi riferimenti al codice WADA e alla banca dati ADAMS (v. 2.2), occorre esaminarlo nel contesto più ampio della sua applicazione. Per questa ragione, dopo aver rammentato le caratteristiche principali del sistema sviluppato dalla WADA (punto 2), il parere passa ad affrontare più approfonditamente le questioni seguenti:

informazioni sul luogo di permanenza dell'atleta (3.1), osservazioni contenute nel primo parere e non integrate (3.2), fondamenti giuridici per il trattamento dei dati (3.3), trasferimento di dati alla banca dati ADAMS in Canada e ad altri paesi terzi (3.4), periodo di conservazione dei dati (3.5), sanzioni (3.6.).

I responsabili del trattamento nell'Unione europea, quali le organizzazioni nazionali antidoping, le federazioni sportive nazionali e internazionali e i comitati olimpici, possono evincere da questo parere alcune delle limitazioni che la legge impone al trattamento dei dati personali degli atleti o di altri interessati. Il Gruppo di lavoro evidenzia che i responsabili del trattamento nell'UE devono trattare i dati personali nel rispetto delle normative nazionali, disattendendo quindi il Codice mondiale antidoping e gli standard internazionali qualora questi ultimi siano incompatibili con il diritto interno. Il Gruppo di lavoro raccomanda che i responsabili si avvalgano di consulenza legale al fine di essere pienamente informati di tutte le questioni rilevanti, in particolare l'applicabilità delle normative nazionali.

 

2. Descrizione delle caratteristiche principali del sistema antidoping della WADA

2.1. Contesto internazionale

La WADA è una fondazione istituita ai sensi del diritto svizzero per promuovere e coordinare, a livello internazionale, la lotta contro il doping in tutte le discipline sportive. Nel perseguire tale obiettivo, la WADA collabora con le organizzazione intergovernative, i governi, le autorità pubbliche e gli altri enti pubblici e privati attivi nella lotta al doping nello sport. A tal fine ha adottato il codice WADA, costituito da vari standard, tra cui lo standard sulla privacy³. L'obiettivo del codice è quello di assicurare programmi antidoping armonizzati, coordinati ed efficaci a livello internazionale e nazionale con riguardo all'individuazione, ai deterrenti e alla prevenzione dei casi di doping. Il codice è stato accettato dalle federazioni internazionali degli sport praticati nell'Unione europea e dalle organizzazioni nazionali antidoping di tutti gli Stati membri dell'UE.

2.2. Il codice, i controlli antidoping e la banca dati ADAMS

Il codice WADA impone, inter alia, alle organizzazioni antidoping di selezionare gli atleti da inserire nel Gruppo registrato ai fini del controllo e di ottenere da questi ultimi le informazioni sul luogo di permanenza dell'atleta.

La WADA ha sviluppato e controlla il sistema di amministrazione e gestione antidoping (Anti-Doping Administration and Management System – ADAMS), una banca dati con sede a Montreal, Canada⁴, grazie alla quale opera come centro di informazioni per i controlli antidoping. L'utilizzo di ADAMS come strumento per la condivisione delle informazioni da parte delle organizzazioni antidoping è facoltativo, sebbene secondo alcune fonti la WADA intenderebbe renderlo obbligatorio.

Tale utilizzo è disciplinato da un accordo standard tra la WADA e le organizzazioni antidoping, che conferisce a queste ultime il diritto di creare in ADAMS un profilo degli atleti iscritti al Gruppo registrato ai fini del controllo e di fornire l'"accesso richiesto" al profilo e alle "altre informazioni" concernenti un atleta a tutte le organizzazioni antidoping che in base al codice sono autorizzate a effettuare controlli su quel determinato atleta. Il profilo deve indicare il Gruppo registrato ai fini del controllo a cui l'atleta appartiene, il nome e cognome, la data di nascita, il sesso, la cittadinanza, la cittadinanza sportiva, gli sport e le discipline praticate, l'elenco di tutte le organizzazioni antidoping che hanno accesso alle informazioni relative ai controlli antidoping dell'atleta, e un simbolo indicante se l'atleta compete a livello internazionale. Il nome dell'atleta, la data di nascita, il sesso e la cittadinanza sportiva possono essere comunicati ad altri utenti di ADAMS.

In base all'accordo, le organizzazioni antidoping sono tenute ad assicurare che gli atleti inseriscano in ADAMS e mantengano aggiornate le informazioni sul luogo di permanenza ad essi relative, e a rendere disponibile l'accesso a tali informazioni anche alle altre associazioni antidoping che, ai sensi del codice, sono autorizzate a effettuare controlli sull'atleta. Inoltre, le autorità antidoping sono tenute a inserire in ADAMS tutte le informazioni relative al controllo antidoping e tutte le decisioni che accordano un'esenzione a fini terapeutici, e devono garantire alla WADA l'accesso a tali esenzioni. (In alcuni casi gli atleti possono fare domanda presso le rispettive organizzazioni antidoping per ottenere un'esenzione a fini terapeutici per l'uso di sostanze altrimenti vietate).

Il periodo di conservazione delle informazioni è di "almeno" 8 anni (tranne che per le informazioni sul luogo di permanenza dell'atleta, per le quali il periodo di conservazione è di 18 mesi). Non risulta sia stato previsto un periodo di conservazione massimo.

L'accordo impone alle organizzazioni antidoping di riconoscere che la creazione del profilo di un atleta non è subordinata al suo consenso, ma che quest'ultimo "possa" essere previsto dalle leggi vigenti in materia di protezione della vita privata. Ove il consenso sia necessario, le organizzazioni antidoping lo devono richiedere agli atleti a nome proprio e della WADA, e indennizzare quest'ultima contro qualsiasi pretesa nei suoi confronti fondata sul mancato ottenimento del consenso necessario di un atleta.

Un articolo è dedicato alla riservatezza dei dati, e vieta alle organizzazioni antidoping di rivelare qualsiasi informazione ai loro membri, salvo che ciò non risulti necessario, e anche in questo caso soltanto nel rispetto delle finalità del codice WADA. Le associazioni antidoping devono rilevare, trattare e comunicare i dati soltanto per i fini per i quali sono stati raccolti, informare i destinatari del carattere confidenziale delle informazioni e fornire indicazioni per il loro trattamento riservato, garantendo tale riservatezza per mezzo di un accordo scritto con i destinatari. I dati possono essere comunicati a persone menzionate nell'accordo o nel codice.

Dal canto suo, la WADA può trattare i dati per ottemperare agli obblighi imposti dal codice alle organizzazioni antidoping e, nel rispetto dei controlli previsti per contratto e previa approvazione da parte di queste ultime, può anche comunicare i dati a qualsiasi terzo fornitore di servizi della cui assistenza potrebbe avvalersi per la gestione e la manutenzione di ADAMS, o qualora ciò sia previsto dalla legge o normativa vigente o dalle autorità governative.

Le organizzazioni antidoping sono competenti per l'attuazione di misure di sicurezza ragionevoli per impedire l'accesso non autorizzato alle informazioni conservate in ADAMS. In caso di alterazione, perdita, danneggiamento o trasmissione erronea dei dati in possesso della WADA, quest'ultima deve attivarsi per quanto possibile per ripristinare o ricreare i dati perduti, ma in nessun caso sarà ritenuta responsabile dell'alterazione, perdita, danneggiamento o trasmissione erronea di dati in conseguenza dell'uso improprio di ADAMS da parte di un'organizzazione antidoping o di un'atleta.

Tramite l'accordo, le parti riconoscono la propria responsabilità in ordine all'osservanza delle rispettive normative sulla protezione dei dati e della vita privata. Le organizzazioni antidoping devono pertanto rispettare la legislazione vigente in materia di protezione dei dati. Non è disponibile alcun accordo specifico applicabile agli enti sportivi nazionali e alle federazioni internazionali (come avviene invece nel caso delle organizzazioni antidoping); tuttavia, sembrerebbe che le questioni sostanziali coincidano. La maggior parte delle federazioni internazionali ha sede in Svizzera.

L'accordo, come si evince dallo stesso, sarà disciplinato dal diritto svizzero.

Ai fini del presente parere, si omette la questione del responsabile/incaricato del trattamento dei dati per ogni singolo trattamento, sebbene possa risultare rilevante, in particolare per quanto riguarda gli enti extracomunitari che interagiscono con l'Unione europea in qualità di responsabili del trattamento.

 

3. Questioni specifiche

3.1 Informazioni sul luogo di permanenza dell'atleta

Come si è già accennato, in base al codice WADA e allo standard internazionale per il controllo, gli atleti selezionati dalle rispettive federazioni internazionali o dalle associazioni antidoping nazionali per l'iscrizione nel Gruppo registrato ai fini dei controlli devono fornire informazioni dettagliate e aggiornate sulla loro localizzazione. Tali informazioni devono essere accessibili alle associazioni antidoping tramite la banca dati ADAMS. Quanto previsto concerne direttamente le norme sulla protezione dei dati stabilite dallo standard sulla privacy (v. articolo 2.0).

L'obbligo di fornire tali dati è principalmente giustificato dall'esigenza di attuare programmi efficaci di controllo fuori competizione, esigenza che deve comunque essere soddisfatta trattando solo dati personali proporzionati e pertinenti, nel rispetto dei principi ai quali la protezione dei dati si informa. A tale proposito, la Convenzione antidoping del Consiglio d'Europa (1989)⁵ prevede che i controlli antidoping siano espletati in orari e modi appropriati, senza interferire irragionevolmente nella vita privata degli sportivi (articolo 7, paragrafo 3, lettera a) e paragrafo 74 del rapporto esplicativo).

Alla luce di quanto precede, occorrerebbe stabilire con chiarezza quali siano le informazioni da fornire in ordine alla reperibilità e agli orari per i controlli, tenendo conto dei principi di necessità e proporzionalità con riguardo alle finalità dei controlli fuori competizione, evitando di raccogliere informazioni che potrebbero comportare un'indebita interferenza nella vita privata degli atleti o rivelare dati sensibili di atleti e/o terzi (ad esempio i familiari).

Il trattamento dei dati personali pertinenti e conformi al principio di proporzionalità dovrebbe partire da un'analisi che individui quali atleti siano a rischio di doping e come si configuri tale rischio. La WADA fornisce alle organizzazioni antidoping gli strumenti per procedere all'analisi del rischio (standard internazionale per il controllo, paragrafo 4.4). Il Gruppo di lavoro desidera sottolineare che la composizione del Gruppo registrato per i controlli dovrebbe basarsi su detta analisi. Tra l'altro, il tipo di sport in cui l'atleta compete (connesso ad esempio al tipo di sostanze o metodi proibiti che possono essere impiegati in quella disciplina per migliorare le prestazioni degli atleti e alla cultura del rifiuto di sostanze o metodi proibiti), il livello a cui l'atleta compete, i fattori di rischio personali degli atleti, sono tutti fattori rilevanti per selezionare il Gruppo registrato ai fini del controllo.

L'analisi del rischio e in particolare i fattori summenzionati dovrebbero essere anch'essi rilevanti nel contesto delle informazioni sul luogo di permanenza da richiedere a determinati atleti. In generale, il Gruppo di lavoro è lieto di prendere atto che il codice e lo standard internazionale per il controllo, articolo 11.3, non esigono informazioni sul luogo di permanenza dell'atleta 24 ore su 24, 7 giorni su 7. Ciò non solo sarebbe sproporzionato, ma si tradurrebbe persino nell'obbligo di fornire dati sensibili, dal momento che gli atleti, come chiunque altro, frequentano ad esempio luoghi di culto, si sottopongono a cure mediche, ovvero partecipano a riunioni di partiti politici; di norma, per quanto concerne la reperibilità, non vi è motivo di imporre un obbligo di trattare dati sensibili.

Il Gruppo di lavoro ritiene proporzionato imporre l'obbligo di fornire informazioni personali relativamente al periodo di 60 minuti giornaliero indicato, nonché l'obbligo di comunicare il nome e l'indirizzo di ogni località in cui l'atleta si allena, lavora o svolge qualsiasi altra attività regolare (solo in quanto connessa con la normale routine dell'atleta, v. articolo 11.3 dello standard internazionale per il controllo). Gli esempi riportati mostrano che, ad eccezione del periodo di 60 minuti giornaliero e della residenza, si considerano proporzionate le informazioni relative a periodi di quattro ore al giorno⁶. Il Gruppo di lavoro auspica quindi che la WADA non richieda alle organizzazioni antidoping di raccogliere informazioni sul luogo di permanenza dell'atleta in misura maggiore rispetto a quanto illustrato finora.

Inoltre, la richiesta di informazioni concernenti normali attività che esulano dalle competizioni e dagli allenamenti potrebbe essere ritenuta sproporzionata se rivolta ad atleti non professionisti che competono a livello nazionale e internazionale. Questo perché la WADA stessa ha affermato che "per gli atleti che competono a livelli inferiori, le regole sono molto più elastiche. Per questi ultimi, informazioni limitate alle località e agli orari in cui si svolgono le competizioni e gli allenamenti potrebbero verosimilmente risultare sufficienti, anche se, a parere della WADA, non sarebbe questo il modo più "efficiente" di procedere ai controlli"⁷. Stabilire se sussistano i fondamenti giuridici per procedere al trattamento di dati personali non è comunque questione di "efficienza", ma di "necessità".

La WADA dovrebbe inoltre riconsiderare la richiesta di comunicazione del luogo di residenza per ciascun giorno nel corso del semestre successivo (anche in caso di soggiorno temporaneo) (articolo 11.3.1, lettera d., dello Standard internazionale per il controllo), poiché ciò sembrerebbe discutibile, considerando che nel caso di controllo eseguito senza preavviso "l'incaricato del controllo antidoping cercherà di reperire l'atleta tra le ore 7:00 e le ore 22:00" (articolo 2.2 delle Linee guida della WADA per i controlli fuori gara del giugno 2004). In considerazione dei commenti esposti in precedenza relativamente agli atleti che competono a livelli inferiori, quanto rilevato interesserebbe proprio questi ultimi.

Inoltre, gli atleti dovrebbero essere messi al corrente dei dati personali che sono tenuti a fornire: l'avviso trasmesso all'atleta deve precisare se le informazioni dettagliate sul suo luogo di permanenza siano da fornire su base facoltativa o obbligatoria e quali siano le conseguenze della mancata comunicazione di tali informazioni.

3.2. Alcune osservazioni non integrate riprese dal primo parere (WP 156)

3.2.1. Termini e definizioni utilizzate nel codice e nello Standard

• Partecipante - persona

Il Gruppo di lavoro ritiene che il concetto di "partecipante" – come definito dal codice e dallo standard sulla privacy – sia eccessivamente restrittivo per poter garantire protezione a tutte le persone i cui dati possono essere trattati nel contesto dell'applicazione del codice. In tale ambito si prega di notare che il codice, tra l'altro in diversi articoli riguardanti udienze aventi ad oggetto violazioni della normativa antidoping e la loro pubblicazione, utilizza il termine non restrittivo "persona" (si vedano ad esempio gli articoli 8 e 14 del codice). Tuttavia, la comunicazione di informazioni di cui all'articolo 7 e i diritti di cui all'articolo 11 dello standard sulla privacy si applicano soltanto ai "partecipanti". Anche se soltanto gli atleti e il loro personale di sostegno saranno tenuti a fornire i propri dati personali alla WADA, il Gruppo di lavoro ritiene che un uso coerente dei termini all'interno dello standard sulla privacy e del codice contribuirebbe ad evitare ogni confusione.

• Terzi

L'impiego del termine "terzi", che ricorre tra l'altro all'articolo 14.6 del codice e all'articolo 8.3 dello standard sulla privacy, non è definito. Il Gruppo di lavoro suggerisce che se ne fornisca una definizione.

• Dati personali

L'articolo 3.2 dello standard definisce i dati personali come "qualsiasi informazione, incluse senza limitazioni le informazioni personali sensibili, concernente un partecipante identificato o identificabile". Tenendo presente in particolare quanto precede, il Gruppo di lavoro raccomanda di ampliare questa definizione e di sostituire il termine "partecipante" con il termine "persona".

Quanto all'anonimizzazione dei dati personali (di cui ad esempio all'articolo 10 dello standard), il Gruppo di lavoro fa riferimento al suo Parere 4/2007 sul concetto di dati personali per comprendere cosa la direttiva intenda per "anonimizzazione/dati anonimi".

Il Gruppo di lavoro osserva che, fatta eccezione per l'articolo 9 (Garantire la sicurezza dei dati personali), lo standard sulla privacy non contempla altre garanzie per la protezione dei dati sanitari e giudiziari elaborati nell'ambito delle attività antidoping.

• Agenti terzi

Il Gruppo di lavoro ritiene che il concetto di "agenti terzi" impiegato all'articolo 4.1 dello standard includa i subcontraenti ai sensi dell'articolo 2, lettera e) della direttiva 95/46/CE. Su questo presupposto si basano le altre osservazioni su tale concetto (v. commenti sulla sicurezza del trattamento, relativi all'articolo 9.4 dello standard), il cui campo di applicazione dovrebbe essere circoscritto con precisione.

3.2.2. Finalità del trattamento dei dati personali

Sarebbe opportuno definire e precisare le finalità specifiche del trattamento dati effettuato ai sensi del codice. Non sono sufficienti il mero riferimento al trattamento dei dati da parte delle organizzazioni antidoping "nell'ambito delle loro attività antidoping" (articolo 4.1 dello standard sulla privacy) e la lettera dell'articolo 5.1 dello stesso standard ("le organizzazioni antidoping devono trattare i dati personali solo ove necessario e opportuno per ottemperare ai proprio obblighi ai sensi del codice e degli standard internazionali"). L'articolo 5.3 si riferisce a varie finalità per le quali è possibile trattare i dati, ma non è chiaro come tali finalità, di diverso tenore letterale, si debbano intendere; il Gruppo di lavoro suggerisce pertanto di chiarire questo punto. Allo stesso modo, andrebbero precisate le finalità che sottendono la comunicazione di dati personali ad altre organizzazioni antidoping indicate all'articolo 8.1.

Il Gruppo di lavoro sottolinea inoltre la necessità di rispettare il principio della finalità e il requisito della compatibilità del trattamento successivo dei dati con la finalità per la quale i dati sono stati inizialmente raccolti.

3.2.3. Necessità e proporzionalità dei dati personali

Lo standard sulla privacy non distingue tra le varie categorie di soggetti interessati (atleti, personale di sostegno, terzi). Tuttavia, l'applicazione del principio di proporzionalità dipenderà dalla categoria di appartenenza della persona. Lo standard sulla privacy dovrebbe essere pertanto modificato di conseguenza.

L'articolo 5.3 dello standard dovrebbe specificare quali dati o categorie di dati personali siano necessari per ottenere le finalità espresse alle lettere a), b) e c), tenendo conto dei principi di necessità e proporzionalità. Come già esposto, l'applicazione di questi principi varierà in funzione delle categorie di persone di cui saranno trattati i dati (atleta, personale di sostegno).

3.2.4. Accuratezza dei dati personali

L'articolo 5.4 dello standard stabilisce che i dati personali trattati devono essere esatti, completi e aggiornati. L'ultima frase del paragrafo sembra però ridimensionare l'obbligo che incombe alle organizzazioni antidoping, trasferendo quasi la responsabilità dal responsabile del trattamento al diretto interessato⁸. Il commento tende a confermare questa impressione. A tale riguardo, il Gruppo di lavoro sottolinea che, conformemente all'articolo 6, lettera d) della direttiva, devono essere prese tutte le misure ragionevoli per cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono rilevati o sono successivamente trattati, cancellati o rettificati. Questo compito spetta al responsabile del trattamento, se necessario, in risposta alla domanda di rettifica degli interessati.

3.2.5. Informazioni ai partecipanti

Il Gruppo di lavoro richiama l'attenzione sulle prescrizioni degli articoli 10 e 11 della direttiva 95/46/CE, in particolare in riferimento all'obbligo di fornire, oltre all'identità del responsabile del trattamento, anche quella del suo rappresentante.

L'articolo 7.2 dello standard stabilisce che, quando i dati personali non sono raccolti presso il partecipante, quest'ultimo è informato "il più rapidamente possibile". Per essere conforme alla direttiva (articolo 11, paragrafo 1), questa informazione deve avvenire al momento della registrazione dei dati o qualora sia prevista una comunicazione dei dati a un terzo, al più tardi all'atto della prima comunicazione dei medesimi.

Il Gruppo di lavoro fa inoltre osservare che nel commento all'articolo 7.2, l'espressione [dovrebbe (…) avere un accesso ragionevole alle informazioni] ridimensiona il diritto all'informazione degli interessati e ribadisce che tale diritto è fondamentale ed è parte integrante del requisito di trasparenza del trattamento dei dati. Nel commento all'articolo 7.2 si afferma inoltre che le organizzazioni antidoping dovrebbero garantire ai partecipanti un trattamento dei dati personali ragionevolmente trasparente. Il Gruppo di lavoro suggerisce di eliminare la parola "ragionevolmente". Nel commento è prevista un'eccezione alla fornitura di informazioni (limitata nel tempo). Il Gruppo di lavoro comprende il contesto in cui si inserisce l'eccezione, ciò nondimeno desidera indicare le norme pertinenti: si prega di rilevare che la direttiva 95/46/CE, in circostanze eccezionali, consente limitazioni all'obbligo di fornire informazioni "quando, in particolare nel trattamento di dati a scopi statistici, o di ricerca storica o scientifica, l'informazione della persona interessata si rivela impossibile o richiede sforzi sproporzionati o la registrazione o la comunicazione è prescritta per legge". Si tratta di limitazioni da interpretare in maniera restrittiva.

Il Gruppo di lavoro ha esaminato da ultimo la quinta edizione della Athlete Guide (guida dell'atleta), consultabile on-line sul sito Internet dell'Agenzia Mondiale Antidoping (WADA)⁹, e propone di inserire, in una prossima edizione, una settima parte concernente la protezione della vita privata e dei dati personali degli atleti, in modo tale da contribuire a una migliore informazione di questi ultimi.

3.2.6. Diritti dei partecipanti rispetto ai dati personali

Lo standard riconosce agli atleti e al loro personale di supporto il diritto di accedere alle informazioni.

Ai sensi dell'articolo 12 della direttiva, l'interessato ha il diritto di ottenere dal responsabile del trattamento l'informazione almeno sulle finalità dei trattamenti, sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui sono comunicati i dati.

Questi elementi non sono contemplati nello standard.

Lo standard prevede che in alcuni casi le organizzazioni antidoping non siano tenute a rispondere alle richieste di accesso ai dati. Il Gruppo di lavoro osserva a questo proposito che l'eccezione di cui all'articolo 11.1 dello standard, formulata in termini molto vaghi (unless to do so in a particular case would conflict with the Anti-Doping Organization's ability to fulfil its obligations under the Code ("a condizione che ciò non contrasti, in un caso particolare, con la capacità dell'organizzazione antidoping di rispettare i suoi obblighi ai sensi del codice"), non sembra, ad un primo esame, essere conforme agli articoli 12 e 15 della direttiva. Il Gruppo di lavoro prende atto della spiegazione offerta in proposito dalla WADA, secondo la quale l'eccezione riguarda dati personali rilevati e impiegati nel contesto di procedimenti di infrazione della normativa antidoping e dati trattati in sede di pianificazione dei controlli antidoping. Tuttavia, ritiene che a priori non ci sarebbero ragioni per negare l'accesso ai dati relativi a procedimenti di violazione della normativa antidoping.

Parimenti, l'eccezione formulata all'articolo 11.2 ("richieste eccessive per la loro portata o frequenza o che impongono un onere sproporzionato in termini di costi o sforzo")) non sembra di primo acchito conforme agli articoli 12 e 15 della direttiva.

Con riferimento agli articoli 11.1 e 11.2, il Gruppo di lavoro rileva che qualsiasi restrizione del diritto di accesso è ammissibile soltanto se è conforme alle disposizioni dell'articolo 13 della direttiva, che autorizza gli Stati membri ad adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti, qualora tale restrizione costituisca una misura necessaria alla salvaguardia degli interessi elencati nel medesimo articolo.

Il Gruppo di lavoro osserva con soddisfazione che, quando ai partecipanti è negato il diritto di accesso, vengono sempre notificate loro le motivazioni scritte di tale rifiuto e ribadisce che è possibile negare l'accesso soltanto alle condizioni stabilite all'articolo 13 della richiamata direttiva, che va interpretato in maniera restrittiva.

Per quanto riguarda l'articolo 11.4, il Gruppo di lavoro sottolinea che, ai sensi dell'articolo 12, lettera c), della direttiva sulla protezione dei dati, il responsabile del trattamento deve notificare ai terzi, ai quali sono stati comunicati i dati, qualsiasi rettifica o cancellazione, effettuate a causa del carattere incompleto o inesatto dei dati, se non si dimostra che è impossibile o implica uno sforzo sproporzionato. Per essere compatibile con la normativa Il Gruppo di lavoro propone inoltre che il codice contempli il diritto di appello e il diritto all'indennizzo per danni subiti a causa di un trattamento incompatibile con lo standard.

3.2.7. Sicurezza del trattamento

Per quanto riguarda i subcontraenti a cui le organizzazioni antidoping potrebbero avere fatto ricorso (agenti terzi – punto 9.4), il Gruppo di lavoro rammenta le norme previste agli articoli 16 e 17 della direttiva 95/46/CE, in particolare l'obbligo del responsabile del trattamento di scegliere un incaricato del trattamento che presenti garanzie sufficienti in merito alle misure di sicurezza tecnica e di organizzazione dei trattamenti da effettuare.

3.2.8. Controllo e vigilanza relativi all'applicazione del codice e dello standard sulla privacy

L'articolo 8.3 del progetto di standard stabilisce che un'organizzazione antidoping può segnalare alla WADA l'eventuale inosservanza dello standard da parte di un'altra organizzazione. La WADA ha comunicato al Gruppo di lavoro che il rispetto dello standard è assicurato anche grazie a valutazioni periodiche delle organizzazioni antidoping e all'invio di questionari online da parte di queste ultime alla WADA. Il Gruppo di lavoro si chiede come la WADA abbia finora assolto il compito di vigilare sul rispetto dello standard. Il controllo sull'attuazione dei principi in materia di privacy derivanti dal codice e dallo standard, inclusa l'applicazione di sanzioni adeguate, è di importanza fondamentale per garantire l'efficacia del codice e dello standard.

3.3. Fondamenti giuridici per il trattamento dei dati

Il Gruppo di lavoro si rammarica che non si sia tenuto conto delle sue osservazioni in merito alla validità del consenso del partecipante, e asserisce che quest'ultimo non è conforme ai requisiti stabiliti dall'articolo 2, lettera h), della direttiva 95/46/CE, che per consenso intende "qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento". Tenuto conto delle sanzioni e delle conseguenze previste nell'eventualità che i partecipanti si sottraggano agli obblighi imposti dal codice (ad esempio fornire le informazioni sul luogo di permanenza), il Gruppo di lavoro non può in nessun caso considerare libero il consenso dato¹⁰.

La direttiva 95/46/CE vieta inoltre il trattamento dei dati sensibili, quali i dati relativi alla salute e quelli che rivelano l'origine razziale o etnica, salvo ricorra un motivo valido ai sensi del suo articolo 8. L'articolo 6.2 dello standard sulla privacy propone che il trattamento di dati sensibili avvenga previo consenso. In linea di principio, l'articolo 8, paragrafo 2, lettera a), della direttiva considera il consenso quale fondamento giuridico per il trattamento. Tuttavia, le osservazioni precedentemente formulate in tema di consenso valgono anche in questo contesto.

Il Gruppo di lavoro rammenta inoltre che la direttiva non ammette il trattamento di dati relativi alle infrazioni sulla base del consenso dell'interessato (articolo 8, paragrafo 5, della direttiva 95/46/CE).

Concludendo, il trattamento dei dati non può essere legittimato dal consenso come definito dall'articolo 7, lettera a) e dall'articolo 8, paragrafo 2, lettera a), della direttiva 95/46/CE, ma può eventualmente trarre fondamento dall'articolo 7, lettera c) e dall'articolo 8, paragrafo 4, della direttiva, qualora la legislazione vigente autorizzi le organizzazioni antidoping a effettuarlo. Se si invoca l'applicazione dell'articolo 8, paragrafo 4, il Gruppo di lavoro ricorda che la legislazione nazionale o la decisione dell'autorità di controllo devono essere subordinate a garanzie adeguate per la protezione della vita privata e dei dati e basarsi su motivi di interesse pubblico rilevante. Di conseguenza, secondo l'articolo 8, paragrafo 4, l'interesse pubblico rilevante di un terzo non sarebbe sufficiente.

Senza nulla togliere alle osservazioni esposte in ordine al consenso, il Gruppo di lavoro prende atto con soddisfazione che in virtù dell'attuale versione dello standard le organizzazioni antidoping trattano i dati personali soltanto se la legislazione vigente le autorizza espressamente in tal senso.

Il Gruppo di lavoro ritiene che l'articolo 7, lettera e), della direttiva 95/46/CE possa fornire una base giuridica per il trattamento, dal momento che le organizzazioni antidoping hanno natura pubblica, comportante compiti pubblici nazionali chiaramente definiti che le autorizzano, ai sensi della legislazione nazionale, a trattare i dati necessari al compimento delle loro mansioni nel rispetto delle disposizioni della direttiva recepite nel diritto interno. Il Gruppo di lavoro considera tuttavia che sarebbe molto difficile per le organizzazioni antidoping invocare il solo interesse legittimo (articolo 7, lettera f), della direttiva). La disposizione richiamata imporrebbe alle organizzazione antidoping di procedere ad un "controllo sulla privacy" ponderando da un lato gli interessi del responsabile del trattamento e dall'altro i diritti fondamentali e gli interessi della persona i cui dati sono trattati. La gravità delle intrusioni nella vita privata, che la lotta al doping così come ideata e attuata dalla WADA comporta, dovrebbero assumere un peso non indifferente in questo contesto. Il Gruppo di lavoro rammenta poi che possono essere trattati soltanto i dati necessari per raggiungere uno scopo preciso, e ciò solo qualora non siano disponibili strumenti meno invasivi per conseguirlo.

Inoltre, come spiegato in precedenza, questi motivi non sarebbero sufficienti per legittimare il trattamento di dati sensibili.

In particolare, per quanto concerne i dati medici, ad esempio per le esenzioni a fini terapeutici, l'unico fondamento giuridico ammissibile è costituito dalla legislazione nazionale che soddisfa le condizioni di cui all'articolo 8, paragrafo 4, della direttiva 95/46/CE.

Quanto al trattamento di dati relativi a sanzioni e infrazioni, può essere effettuato solo sotto controllo dell'autorità pubblica, o se vengono fornite opportune garanzie sulla base del diritto nazionale, fatte salve le deroghe che possono essere fissate dallo Stato membro in base ad una disposizione nazionale che preveda garanzie appropriate e specifiche (articolo 8, paragrafo 5, della direttiva).

Pertanto, le organizzazioni antidoping degli Stati membri possono trattare i dati relativi alle infrazioni pubblicandoli in Internet o registrandoli in altri modi soltanto se la legislazione nazionale o l'autorità competente per la protezione dei dati dello Stato membro in cui opera il responsabile del trattamento forniscono un fondamento giuridico per il trattamento.

3.4. Il trasferimento dei dati nella banca dati ADAMS in Canada e in altri paesi terzi

Se sia possibile o meno trasmettere liberamente dati personali dall'UE alla banca dati ADAMS in Canada senza garanzie aggiuntive dipende dal livello di protezione dei dati personali assicurato dal Canada. A questo proposito non sussiste alcuna decisione della Commissione concernente il Canada in generale, esiste però una decisione della Commissione riguardante l'adeguatezza della protezione fornita dalla legge canadese sulla tutela delle informazioni personali e sui documenti elettronici (PIPEDA) ¹¹, che si applica soltanto alle organizzazioni del settore privato che rilevano, utilizzano o comunicano dati personali nell'ambito di attività commerciali.

Conformemente allo standard sulla privacy, i dati personali concernenti gli atleti e il personale di supporto "...sono conservati dalla WADA, che è soggetta al controllo delle autorità canadesi per la privacy…". Queste ultime non sono specificate.

L'accordo ADAMS descrive la WADA come un'organizzazione senza fini di lucro, alla quale la legge PIPEDA non è pertanto applicabile. Non sono disponibili altre informazioni dalle quali evincere che i dati personali trasferiti dall'UE siano destinati a organizzazioni diverse dalla WADA, indipendentemente dai contratti di servizi che quest'ultima può avere stipulato con terzi.

Con lettera del 10 novembre 2008 al Gruppo di lavoro articolo 29, il commissario canadese per la privacy comunica che, in base alla sua analisi, la decisione di adeguatezza PIPEDA non si applica alla WADA, in quanto le attività quotidiane di quest'ultima non rivestono carattere commerciale. Tuttavia, il commissario afferma che la legge PIPEDA si applica alla CGI, un'impresa commerciale con cui la WADA avrebbe concluso un accordo per la gestione di ADAMS. I dettagli dell'accordo non sono noti, e risulta quindi impossibile commentare eventuali ripercussioni di quest'ultimo sui diritti degli interessati.

Sulla base delle informazioni ricevute dal commissario canadese per la privacy, che secondo il Gruppo di lavoro è l'autorità competente in materia, non è possibile stabilire con certezza se la legge PIPEDA si applichi alla WADA o ad ADAMS.

Il semplice fatto che la legge PIPEDA non si applica alla WADA e ad ADAMS non significa automaticamente che l'autorità giudiziaria del luogo in cui esse sono situate non assicuri un livello di protezione adeguato, ma allo stesso tempo non significa che sia vero il contrario.

Al momento, l'uso di ADAMS non è obbligatorio. Tuttavia, in base al codice, le organizzazioni antidoping soggette al diritto comunitario sono obbligate a condividere i dati personali con gli enti pertinenti, nell'UE e oltre i suoi confini. Il codice obbliga quindi a trasferire i dati personali dall'UE. Ad esempio, le informazioni riguardanti i riscontri analitici di positività dovrebbero essere comunicati alla federazione internazionale e alla WADA¹², e le informazioni sul luogo di permanenza dell'atleta dovrebbero essere rese disponibili a tutte le organizzazioni antidoping competenti per svolgere i controlli nei suoi confronti¹³. Queste ultime possono essere ad esempio le federazioni internazionali, il Comitato olimpico internazionale o le organizzazioni antidoping di un paese terzo¹⁴.

Se il paese terzo verso il quale avviene il trasferimento non garantisce un livello di protezione adeguato, il trasferimento dall'UE deve avere luogo sulla base delle deroghe precisate all'articolo 26, paragrafo 1, della direttiva, ovvero essere accompagnato da garanzie aggiuntive specificate all'articolo 26, paragrafo 2, della direttiva. Nella misura in cui gli standard di adeguatezza WP12¹⁵ impongono un livello adeguato di protezione per i trasferimenti successivi, tali garanzie devono parimenti assicurare la protezione adeguata dei dati personali nei casi di trasferimento successivo. Le garanzie di cui all'articolo 26, paragrafo 2, devono essere autorizzate dagli Stati membri e notificate alla Commissione.

A titolo di orientamento per l'interpretazione delle esenzioni previste dall'articolo 26, paragrafo 1, della direttiva, il Gruppo di lavoro fa riferimento al suo Documento di lavoro sull'interpretazione comune dell'articolo 26, paragrafo 1, della direttiva 95/46/CE, del 24 ottobre 1995 (WP114), e al capitolo 5 del suo Documento di lavoro: Trasferimenti di dati personali verso paesi terzi: applicazione degli articoli 25 e 26 della direttiva europea sulla tutela dei dati (WP12)”. Il Gruppo di lavoro desidera in particolare sottolineare che le deroghe alla regola di adeguatezza di cui all'articolo 26, paragrafo 1, della direttiva riguardano per la maggior parte casi in cui il rischio per gli interessati è relativamente basso, o in cui altri interessi prevalgono sul diritto dell'interessato alla privacy e su altri diritti fondamentali. Di conseguenza, la loro interpretazione dovrebbe essere restrittiva per evitare che l'eccezione diventi la regola.

Per le ragioni a cui il Gruppo di lavoro ha già accennato nel primo parere (WP 156), ribadite in questa sede, il consenso quale fondamento giuridico di tutti i trasferimenti dei dati degli atleti non è conforme a quanto disposto dall'articolo 2, lettera h), della direttiva 95/46/EC. Sebbene l'avviso informativo per gli atleti allegato all'accordo che disciplina l'uso di ADAMS soddisfi molte delle condizioni relative alle informazioni che il responsabile del trattamento deve fornire all'interessato, esso contiene disposizioni che destano una certa preoccupazione.

Con tale avviso si informa l'atleta che i suoi dati personali potranno essere resi disponibili a persone o partiti localizzati fuori dal suo luogo di residenza, e che in alcuni paesi la normativa sulla protezione dei dati può non essere equivalente alla normativa nazionale locale; che può godere di alcuni diritti ai sensi della legislazione vigente, e che i quesiti sul trattamento possono essere inoltrati a qualsiasi autorità di controllo, alla WADA, alla federazione sportiva o all'organizzazione antidoping pertinente. Fatto quanto mai importante, l'atleta è informato della possibilità di revocare il proprio consenso in qualsiasi momento, ma in tal caso la WADA e le organizzazioni antidoping possono ritenere ancora necessario proseguire con il trattamento. All'atleta viene anche comunicato che la sua partecipazione a eventi sportivi organizzati dipende dalla sua adesione al codice, che comporta l'obbligo di partecipare volontariamente alle procedure antidoping, e che la revoca del consenso equivarrà al rifiuto di partecipare a tali procedure, fatto che potrebbe comportare per l'atleta sanzioni disciplinari o di altra natura.

L'articolo 26, paragrafo 1, lettera b), prevede che i dati personali possano essere trasferiti verso un paese terzo se il trasferimento è necessario per l'esecuzione di un contratto tra la persona interessata ed il responsabile del trattamento o per l'esecuzione di misure precontrattuali prese a richiesta di questa. Ove vi sia, ad esempio, un contratto (di lavoro) concluso tra un atleta che compete a livello internazionale e un'organizzazione antidoping avente ad oggetto allenamenti e competizioni, tale contratto potrebbe legittimare il trasferimento dei dati personali necessari a competere e allenarsi a livello internazionale, incluse le informazioni sul luogo di permanenza dell'atleta, a persone interessate in paesi terzi.

Tuttavia, tale eccezione dovrebbe essere interpretata restrittivamente. Non si dovrebbero trasmettere altri dati personali oltre a quelli strettamente necessari ai fini del contratto, e nessuno oltre ai diretti interessati dovrebbe essere legittimato a riceverli. Il principio di necessità impone un legame stretto e concreto tra l'interessato e lo scopo del contratto. Per tali ragioni, nell'esempio citato, la trasmissione alla WADA in qualità di "centro d'informazione" e l'uso di ADAMS per la trasmissione di dati ad altre parti interessate, sebbene agevolino il trasferimento dei dati, non sarebbero considerati necessari per assicurare il rispetto del contratto tra l'atleta e l'organizzazione antidoping. Questa deroga non si applica nemmeno all'uso di ADAMS da parte di un'organizzazione antidoping disciplinata dal diritto comunitario per il trattamento delle informazioni sul luogo di permanenza dell'atleta nella propria giurisdizione.

Risulterebbe molto difficile avvalersi della deroga di cui all'articolo 26, paragrafo 1, lettera d), per il trasferimento di dati "per la salvaguardia di un interesse pubblico rilevante". Il semplice interesse pubblico non sarebbe sufficiente: occorre che si tratti di una questione di interesse pubblico rilevante, che deve essere qualificato come tale dalla legge nazionale applicabile ai responsabili del trattamento stabiliti nell'UE.

Il Gruppo di lavoro raccomanda inoltre che i trasferimenti di dati personali che possono essere definiti massicci, ripetuti o strutturali non dovrebbero trovare fondamento nelle deroghe. Si evidenzia poi che ogni trasferimento relativo a un singolo atleta e a una singola finalità richiederebbe una giustificazione ai sensi dell'articolo 26, paragrafo 1, se si applicasse tale disposizione, il che non sarebbe facilmente realizzabile.

In conclusione, le organizzazioni antidoping devono assicurare un contesto giuridico adeguato a tutti i trasferimenti internazionali di dati personali che avvengono sotto l'egida del codice mondiale antidoping. In particolare, alla luce delle implicazioni del diritto alla tutela della vita privata degli interessati, della natura strutturale dei trasferimenti internazionali di dati e dei limiti all'uso delle deroghe di cui all'articolo 26, paragrafo 1, della direttiva, le organizzazioni antidoping dovrebbero ricorrere di preferenza a garanzie aggiuntive quali le clausole contrattuali, secondo quanto dispone l'articolo 26, paragrafo 2, nel qual caso sarà necessaria l'autorizzazione dello Stato membro.

3.5. Periodi di conservazione

Il Gruppo di lavoro è favorevole all'inclusione nello standard di una norma relativa al periodo di conservazione dei dati e all'obbligo di cancellare tali dati quando non sono più necessari rispetto alle finalità per le quali sono stati trattati (articolo 10).

La WADA ha fatto presente al Gruppo di lavoro articolo 29 che le informazioni sul luogo di permanenza dell'atleta sono conservate in ADAMS fino a 18 mesi. L'articolo 2.4 del codice recita che "Ogni combinazione di tre controlli mancati e/o la [mancata] presentazione di informazioni entro un periodo di diciotto mesi, determinata dalle organizzazioni antidoping con competenza sull'atleta, costituirà violazione del regolamento antidoping".

La maggior parte delle altre informazioni, quali pianificazioni e risultati dei controlli, esenzioni a fini terapeutici e relativa documentazione, documenti riguardanti procedimenti di infrazione ecc. sono conservati per non meno di otto anni. Il periodo di otto anni si giustifica in virtù dell'articolo 17 del codice, secondo il quale non può essere avviata alcuna azione contro un atleta o altra persona per una violazione di una norma antidoping se tale azione non viene avviata entro otto anni dalla data in cui sarebbe stata commessa la violazione (termine di prescrizione). Tale termine è ritenuto adeguato in quanto in questo arco di tempo possono svolgersi almeno due olimpiadi. Si giustifica inoltre per il fatto che otto anni sono il periodo durante il quale il Tribunale arbitrale dello sport potrà qualificare una nuova infrazione come seconda violazione. La WADA osserva inoltre che le organizzazioni antidoping possono conservare i dati più a lungo¹⁶.

Il Gruppo di lavoro mette in discussione la pertinenza e la necessità di tali periodi di conservazione. Quanto alle informazioni sul luogo di permanenza dell'atleta, il Gruppo di lavoro non ritiene che vi sia una valida ragione per conservarle oltre la data che vi si riferisce.

Di conseguenza, l'articolo 14.3 del codice reca la regola seguente per la conservazione delle informazioni sul luogo di permanenza dell'atleta: tali dati "sono usati esclusivamente per scopi di pianificazione, coordinamento e conduzione dei controlli e sono distrutti quando non sono più di interesse". Le informazioni sul luogo di permanenza dell'atleta possono essere conservate più a lungo se l'organizzazione antidoping ritiene che si sia verificato un caso di inadempimento nella loro comunicazione e/o un caso di controllo mancato. In queste ipotesi è giustificato conservare i dati per 18 mesi, poiché tre omissioni nella presentazione di informazioni sul luogo di permanenza dell'atleta equivalgono ad una presunta violazione della normativa antidoping. Tuttavia, una volta stabilito che non vi è stata alcuna violazione della detta normativa, le informazioni sul luogo di permanenza dovrebbero essere cancellate. Il Gruppo di lavoro sollecita quindi la WADA a modificare la propria politica in materia di conservazione delle informazioni sul luogo di permanenza dell'atleta in considerazione di quanto esposto.

Il Gruppo di lavoro ritiene che la conservazione di dati relativi a condanne per un periodo massimo di otto anni potrebbe rivelarsi necessaria, tenuto conto del fatto che il Tribunale arbitrale dello sport considererebbe una nuova infrazione nel corso di tale periodo come una seconda violazione.

Tuttavia, non tutti i dati dovrebbero essere conservati in vista di agire in giudizio. Ad esempio, il Gruppo di lavoro ritiene che una ragione per conservare i campioni potrebbe risiedere nella possibilità, grazie a nuove tecnologie sviluppate in un momento successivo, di individuare sostanze che non erano rintracciabili all'epoca del prelievo del campione. Non pare sia giustificabile conservare fino a otto anni la documentazione relativa alle esenzioni a fini terapeutici, alla pianificazione dei controlli, ai risultati negativi degli esami antidoping, ecc.

Il Gruppo di lavoro chiede alla WADA di riconsiderare le norme sul periodo limite di otto anni per qualsiasi violazione della normativa antidoping. Tali violazioni spaziano dall'uso di sostanze vietate da parte dell'atleta al possesso di metodi e sostanze proibiti (v. articolo 2 del codice). Ci si chiede se la WADA ritenga giusto poter avviare un procedimento nei confronti di un atleta otto anni dopo la presunta infrazione, indipendentemente dal tipo di violazione della normativa antidoping. Il Gruppo di lavoro suggerisce alla WADA di prendere in considerazione un approccio più proporzionato, in funzione tra l'altro del tipo di violazione.

Il Gruppo di lavoro invita quindi la WADA a stabilire, sulla base dell'esperienza acquisita nel settore, periodi di conservazione massimi più ragionevoli per le varie categorie di dati personali e raccomanda inoltre alla WADA di garantire che le organizzazioni antidoping siano obbligate a rispettare i periodi di conservazione.

3.6. Sanzioni

L'articolo 14.2.2 del codice prevede che non oltre venti [20] giorni dall'accertamento di una violazione della normativa antidoping avvenuto nel corso di un'udienza tenutasi conformemente all'articolo 8 del codice, o dalla rinuncia all'udienza ovvero dalla mancata opposizione nei termini all'addebito di una violazione della normativa antidoping, l'organizzazione antidoping responsabile per la gestione dei risultati deve divulgare al pubblico la decisione che conclude il procedimento, inclusi il nome dell'atleta o di chiunque abbia commesso la violazione, la disciplina sportiva, la norma antidoping a cui si è contravvenuto, la sostanza o il metodo proibiti e le relative sanzioni. Vanno divulgate al pubblico anche le decisioni sulle impugnazioni concernenti violazioni della normativa antidoping.

L'articolo 14.2.4 precisa inoltre che la pubblicazione deve avvenire almeno visualizzando le informazioni necessarie sul sito Internet delle organizzazioni antidoping per il periodo minimo di un [1] anno.

In sede di scambio di informazioni con il Gruppo di lavoro articolo 29, la WADA ha elencato numerose ragioni a favore del trattamento di tali dati su Internet. In primo luogo, la WADA ribadisce che tali informazioni sono essenziali per la comunità sportiva: impediscono all'atleta sospeso di partecipare in altra veste a sport organizzati (ad esempio come allenatore, consulente tecnico o funzionario) o di competere in un'altra disciplina sportiva nel periodo in cui il codice glielo vieta. In secondo luogo, la WADA utilizza la pubblicazione in Internet come deterrente: da un lato, ha la funzione di sanzione: la WADA spiega che "[g]li atleti che commettono violazioni della normativa antidoping sono consapevoli che, se scoperti, la notizia sarà diffusa". Dall'altro lato, la WADA chiarisce che anche altri atleti dovrebbero "sapere che nessuno, nemmeno gli atleti di alto livello, possono violare la normativa restando impuniti¹⁷".

La WADA spiega poi che vengono pubblicate soltanto le decisioni finali che accertano che un atleta si è reso responsabile di una violazione della normativa antidoping. Quest'ultima affermazione pare contraddire il contenuto del già citato articolo 14.2.2.

La pubblicazione dei dati personali e, a fortiori, dei dati relativi alle infrazioni – che può darsi non siano [ancora] state confermate da un procedimento di appello – rappresenta un'interferenza con il diritto alla tutela della vita privata e alla protezione dei dati personali.

Affinché tale interferenza sia ammissibile, deve risultare necessaria per il conseguimento di un obiettivo legittimo ben preciso. Ciò implica, tra l'altro, che occorre un nesso ragionevole di proporzionalità tra le conseguenze della misura per la persona interessata e tale obiettivo legittimo, e che non sono disponibili altri mezzi meno invasivi per raggiungerlo. Il trattamento deve essere inoltre giustificato da un motivo valido, per il quale il Gruppo di lavoro fa riferimento al paragrafo 3.3. Di seguito, il Gruppo di lavoro esamina la necessità del trattamento in vista di obiettivi determinati.

3.6.1. Impedire che gli atleti partecipino a eventi sportivi in altra veste o competano in un'altra disciplina

Al fine di impedire che gli atleti partecipino in altra veste a eventi sportivi organizzati o competano in un'altra disciplina nel periodo in cui il codice ne fa loro divieto, non è necessaria alcuna pubblicazione, ma sono sufficienti misure di portata più circoscritta. Il Gruppo di lavoro segnala ad esempio l'introduzione di un procedimento che preveda la presentazione di un "certificato di buona condotta". Se questo mezzo dovesse rivelarsi inefficace o inadeguato, potrebbe risultare indispensabile per il conseguimento dell'obiettivo una forma limitata di pubblicazione elettronica necessaria per gli incaricati del controllo del rispetto effettivo delle sanzioni e per i responsabili delle associazioni sportive. La pubblicazione a tal fine dei dati personali su un sito Internet accessibile a chiunque è comunque ritenuta sproporzionata.

3.6.2. Effetto deterrente

Quanto all'effetto deterrente evidenziato dalla WADA, il Gruppo di lavoro non è convinto della necessità – e della conseguente proporzionalità – della pubblicazione su Internet di tutte le sanzioni. La valutazione comparativa tra gli interessi dell'incaricato del trattamento da un lato, e i diritti fondamentali dell'interessato dall'altro, porta a concludere che la pubblicazione intesa come deterrente o sanzione, tramite Internet o con altri mezzi, di dati personali relativi alle condanne, senza tenere conto delle circostanze del caso, risulta sproporzionata. Se un atleta si è reso colpevole di un'infrazione alla normativa antidoping, sarà punito conformemente agli articoli 9, 10 e/o 11 del codice, e sarà ad esempio squalificato, dichiarato non idoneo ovvero multato. La necessità di un'eventuale sanzione aggiuntiva nella forma della pubblicazione potrebbe essere valutata soltanto tenendo conto delle circostanze specifiche del caso. Gli elementi che dovrebbero essere presi in considerazione in quest'ambito sono ad esempio la gravità della violazione della normativa antidoping, il numero delle infrazioni, il livello al quale l'atleta compete, l'eventuale minore età, la circostanza che il caso sia già stato discusso dai media, e le possibili conseguenze della sanzione sui risultati delle competizioni e sulla classifica degli atleti. Qualora si ritenesse necessaria la pubblicazione delle sanzioni, si dovrebbero prendere in considerazione altri mezzi di divulgazione meno invasivi: potrebbe essere sufficiente anche una pubblicazione unica immediatamente successiva alla decisione, ad esempio tramite comunicato stampa. Inoltre, non sembra trovare giustificazione il periodo minimo di un anno stabilito per la pubblicazione delle sanzioni.

Quanto al secondo elemento dell'effetto deterrente, ossia la sensibilizzazione degli altri atleti, si dovrebbero considerare sufficienti misure meno invasive. La pubblicazione anonima di sanzioni, inclusi fattori pertinenti quali il livello al quale l'atleta compete e dati statistici potrebbero essere ugualmente propedeutici allo scopo perseguito.

Inoltre, qualsiasi pubblicazione su Internet è considerata più invasiva rispetto alla pubblicazione in altri tipi di media. Nel primo caso non solo è possibile che chiunque consulti i dati, ma questi ultimi, una volta pubblicati on-line, possono essere usati per altri scopi e ulteriormente elaborati, e rimanere quindi di dominio pubblico anche dopo che la sanzione ha esaurito i suoi effetti e la pubblicazione sul sito cessa di essere anonima.

Nel primo parere 3/2008, il Gruppo di lavoro si era già interrogato in merito alla proporzionalità di una siffatta pubblicazione, e nonostante ulteriori ricerche e chiarimenti forniti dalla WADA, per i motivi testé esposti la sua preoccupazione al riguardo permane. Concludendo, il Gruppo di lavoro ritiene che la pubblicazione su Internet per la durata di un anno non sia necessaria per conseguire gli obiettivi indicati dalla WADA, in quanto reputa che tali obiettivi possano essere raggiunti con modalità meno dannose per gli interessati e che gli effetti delle misure siano sproporzionati rispetto agli obiettivi.

4. Conclusione

Conformemente alla sua analisi, il Gruppo di lavoro articolo 29 conferma il proprio sostegno all'iniziativa della WADA. Pur essendo consapevole dell'importanza – tra l'altro per la salute degli atleti – della lotta al doping nello sport, la WADA continua a portarla avanti nel rispetto dei diritti fondamentali degli atleti e dei loro collaboratori, in particolare il diritto alla protezione della vita privata e dei dati personali.

Mentre l'adozione da parte della WADA dello Standard internazionale per la protezione della privacy e dei dati personali rappresenta un segnale incoraggiante dal punto di vista della sensibilizzazione in materia di protezione dei dati personali, occorrerebbe sfatare il mito per cui esso assicura, nel mondo, un adeguato livello di protezione dei dati personali trattati nell'UE, come impone il diritto comunitario. Alcune modifiche apportate allo standard sulla privacy sono state indubbiamente introdotte in seguito al primo parere del Gruppo di lavoro che, nelle pagine precedenti, ha comunque evidenziato numerose questioni che restano problematiche. Il Gruppo sollecita la WADA, le organizzazioni nazionali antidoping, le federazioni sportive nazionali e internazionali e i comitati olimpici a tenerle presenti, invitando in particolare le organizzazioni nazionali a prenderle in considerazione durante le loro attività. Il Gruppo di lavoro desidera porre in rilievo alcune delle questioni sollevate, ribadendo in particolare che il consenso non può essere invocato per legittimare il trattamento, indipendentemente dal fatto che si riferisca o meno a dati sensibili ai sensi degli articoli 7 e 8 della direttiva 95/46/CE. I trasferimenti di dati alla banca dati ADAMS, con sede in Canada, e i trasferimenti successivi a partire da ADAMS, dovranno soddisfare il requisito del livello di protezione adeguato nel paese di destinazione. Se tale livello non può essere ritenuto adeguato, i trasferimenti possono avvenire soltanto in alcuni casi eccezionali, elencati all'articolo 26 della direttiva, purché non siano periodici o massicci, circostanza che trasformerebbe l'eccezione in regola. Quanto alla pubblicazione di sanzioni su Internet per un periodo di un anno, il Gruppo di lavoro è del parere che questa misura non sia necessaria per conseguire gli obiettivi indicati dalla WADA, in quanto, da un lato, ritiene che essi possano essere raggiunti con modalità meno pregiudizievoli per gli interessati e, dall'altro, che gli effetti della misura siano sproporzionati rispetto a tali obiettivi. Anche alla luce del principio di proporzionalità il Gruppo di lavoro invita la WADA e le organizzazioni antidoping a riesaminare il rilevamento delle informazioni sul luogo di permanenza dell'atleta nella sua forma odierna e, più in generale, l'attuale periodo di conservazione dei dati trattati.

Il Gruppo di lavoro confida che tutte le organizzazioni antidoping e gli altri attori coinvolti si assumano le rispettive responsabilità affinché si tenga conto di tutte le sue osservazioni e sia garantito il pieno rispetto delle norme comunitarie in materia di protezione dei dati personali.

Fatto a Bruxelles, il 6 aprile 2009

Per il Gruppo di lavoro

Il Presidente

Alex TÜRK

 

NOTE

1 Parere 3/2008 del 1° agosto 2008 sul progetto di standard internazionale del codice mondiale antidoping per la protezione della privacy (WP 156) http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2008/wp156_en.pdf

2 Le definizioni modificate di "trattamento", di "dati sensibili" (che non riguardano più le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, la cui pertinenza in materia di lotta al doping è stata messain discussione dal Gruppo di lavoro (3.2)) e i chiarimenti forniti sub 6.2. Il Gruppo di lavoro ha altresì rilevato chel'articolo 6 è stato riscritto e oltre al consenso – d'ora innanzi consenso informato – prevede che il trattamento delle "informazioni personali" debba avvenire "ove la legge lo consenta espressamente". Il Gruppo di lavoro ha inoltre preso atto di altre modifiche in linea con le sue osservazioni, tra cui l'elaborazione del commento all'articolo 9.2, l'eliminazione dell'espressione "chiaramente vessatorie", di cui all'articolo 11.2, relativamente all'esercizio del diritto di accesso e, all'articolo 11.5, la previsione del diritto dei partecipanti di inoltrare reclami presso un'organizzazione internazionale antidoping.3 Finora sono stati adottati cinque standard: Lista di sostanze vietate, Standard internazionale per il controllo, Standard internazionale per i laboratori, Standard internazionale per le esenzioni terapeutiche e Standard internazionale per la protezione della privacy e dei dati personali.

4 V. il sito della WADA: http://www.wada-ama.org

5 V. il sito del Consiglio d'Europa (STE n. 135). http://conventions.coe.int/Treaty/en/Treaties/Html/135.htm

6 V. ad esempio il commento all'articolo 11.3.1(e) dello Standard internazionale per il controllo.

7 V. pag. 6 delle risposte della WADA al Gruppo di lavoro articolo 29 ("WADA Responses to Working Party 29"), del 30 gennaio 2009.

8 "(…). “Although this does not necessarily require Anti-Doping Organizations to verify the accuracy of all Personal Information they Process, it does require that Anti-Doping organizations correct or amend any Personal Information that they affirmatively know to incorrect or inaccurate as soon have possible” (Ciò non obbliga necessariamente le organizzazioni antidoping a verificare l'accuratezza di tutti i dati personali elaborati, bensì a rettificare o modificare senza indugio i dati personali che sanno essere errati o imprecisi).

9 The Athlete Guide, quinta edizione, disponibile sul sito http://www.wada-ama.org europeo sulla protezione dei dati, l'espressione "where appropriate" ("laddove appropriato") dovrebbe essere intesa esclusivamente ai sensi di queste due eccezioni.

10 Ad esempio, l'articolo 6.3.a dello standard recita quanto segue: "Anti-Doping Organizations shall inform Participants of the negative consequences that could arise for their refusal to participate in doping controls, including Testing and of the refusal to consent to the Processing of Personal Information as required for this purpose" (Le organizzazioni antidoping informano i partecipanti in merito alle conseguenze negative che potrebbero derivare dal loro rifiuto di partecipare ai controlli antidoping, e dal rifiuto di dare il consenso al trattamento dei dati personali necessari a tale scopo). Il commento a questa disposizione aggiunge che ipartecipanti devono essere informati che un rifiuto potrebbe impedire il loro coinvolgimento negli sport organizzati e integrare, per gli atleti, una violazione del codice atta ad annullare, tra l'altro, i risultati delle competizioni.

11 Decisione della Commissione del 20 dicembre 2001 conforme alla direttiva 95/46/CE del Parlamento europeo e del Consiglio e riguardante l'adeguatezza della protezione fornita dalla legge canadese sulla tutela delle informazioni personali e sui documenti elettronici (2002/2/CE).

12 V. articolo 14.1.2 del codice.

13 V. articolo 14.3 del codice.

14 V. anche articolo 5.1 del codice.

15 WP 9 (5005/98) Documento di lavoro: Trasferimenti di dati personali verso paesi terzi: applicazione degli articoli 25 e 26 della direttiva comunitaria sulla tutela dei dati (WP12)”.

16 V. pag. 8 delle risposte della WADA al Gruppo di lavoro articolo 29 ("WADA Responses to Working Party 29"), del 30 gennaio 2009.

17 V. pag. 9 delle risposte della WADA al Gruppo di lavoro articolo 29 ("WADA Responses to Working Party 29"), del 30 gennaio 2009.