SEMPLIFICAZIONI DI TALUNIADEMPIMENTI IN AMBITO PUBBLICO E PRIVATO RISPETTO A TRATTAMENTI PER FINALITÀAMMINISTRATIVE E CONTABILI  (*)
(Pubblicato sulla G.U. n. 152 del 1-7-2008 )

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI 

Nella riunione odierna, in presenza delprof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti,e del dott. Giovanni Buttarelli, segretario generale;

Visto il Codice in materia di protezionedei dati personali (d. lg. 30 giugno 2003, n. 196) e ritenuta l'opportunità dipromuovere alcune misure di semplificazione per l'intero settore pubblico eprivato in relazione alle correnti attività amministrative e contabili, in particolare nei riguardi di piccole e medie imprese, liberi professionisti eartigiani;

Viste le osservazioni formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

Relatore il prof. Francesco Pizzetti;

PREMESSO

1. Esigenze alla base di nuove misure disemplificazione:  Presso vari operatori si avverte l'esigenza di alcunesemplificazioni nell'applicazione della disciplina sulla protezione dei datipersonali.

La riflessione in ambito pubblico eprivato è avvertita in modo particolare presso piccole e medie imprese, liberiprofessionisti e artigiani, per quanto riguarda la gestione di informazioniattinenti ad altre imprese, amministrazioni, clienti, fornitori e dipendentiutilizzate, anche in relazione a obblighi contrattuali e normativi, percorrenti finalità amministrative e contabili.

Sulla base dell'esperienza acquisita inmateria vengono prospettate alcune criticità rispetto a determinate modalitàper adempiere a obblighi di legge o derivanti da un contratto, avvertite cometroppo onerose in rapporto alle garanzie per gli interessati.

Il Garante ha completato un'analisiapprofondita della problematica. In aggiunta alle misure di semplificazionedisposte con decisioni per casi specifici, l'Autorità ha intrapreso varieiniziative, anche sulla base di un dialogo con le categorie interessate, che hagià comportato l'approvazione di un provvedimento di carattere generale ("Guidapratica e misure di semplificazione per le piccole e medie imprese", Provv. 24 maggio 2007, n. 21, in G.U. 21 giugno 2007, n. 142).

Dall'istruttoria sono emerse trevalutazioni di fondo:

a) alcune modalità applicative, seguitesoprattutto presso piccole imprese, liberi professionisti e artigiani, sonoancora basate su approcci prettamente burocratici e di ordine puramenteformale. Istituti posti a garanzia degli interessati vengono banalizzati incontrasto con lo spirito del Codice che intende assicurare una protezioneelevata dei diritti e delle libertà fondamentali "nel rispetto deiprincìpi di semplificazione, armonizzazione ed efficacia" (art. 2, comma 2). Da tali prassi conseguonoadempimenti superflui o ripetuti inutilmente, talvolta anche per effetto dierronee valutazioni fornite in sede di consulenza, con oneri organizzativi dacui non deriva un reale valore aggiunto ai fini della correttezza e dellatrasparenza del trattamento e che gli interessati avvertono con disinteresse ofastidio;

b) è possibile apportare ulteriorisemplificazioni (in particolare per agevolare la corrente attività gestionaledi organismi pubblici e privati di ridotte dimensioni), in aggiunta a quellegià introdotte per legge o da questa Autorità e in armonia con la disciplinacomplessiva, anche comunitaria, della materia, salvaguardando i diritti e lelibertà fondamentali dei cittadini;

c) la protezione dei dati personali puòrappresentare una risorsa, anche per piccole e medie imprese, rendere piùefficiente l'attività gestionale e incrementare la fiducia degli interessati.

L'Autorità intende fornire un suo nuovocontributo in materia esercitando le attribuzioni che le sono conferite perlegge.

Con il presente provvedimento sonopertanto individuate soluzioni concrete volte ad agevolare ulteriormentel'ordinaria attività di gestione amministrativa e contabile, in modoparticolare rispetto ai casi in cui non sono trattati dati di caratteresensibile o giudiziario. Di seguito, vengono quindi enunciate nuove linee guida-interpretativedella normativa vigente e sono individuate alcune modalità innovative persemplificare taluni adempimenti, in modo particolare per l'informativa agliinteressati e il consenso.

2. L'informativa agliinteressati:  Diverse realtà, specie imprenditoriali di piccole e mediedimensioni, trattano dati, anche in relazione a obblighi contrattuali,precontrattuali o di legge, esclusivamente per finalità di ordineamministrativo e contabile (gestione di ordinativi, buste paga e di ordinariacorrispondenza con clienti, fornitori, realtà esterne di supporto anche in outsourcing, dipendenti); spesso, ciò accade in relazione ainformazioni che non hanno carattere sensibile o giudiziario.

Alcune tra le criticità menzionateriguardano le modalità con cui l'informativa è fornita per iscritto, anzichéoralmente (art. 13). Sono stati formati spesso moduli lunghi e burocratici,privi di comunicatività e basati sull'eccessivo uso di espressioni prettamentegiuridiche, inidonee a far comprendere le caratteristiche principali deltrattamento. Alla mancanza di chiarezza si è sommata l'inutile ripetizionedell'informativa in occasione di ciascun contatto con gli interessati,frazionando le spiegazioni che andrebbero invece fornite in modo organico epossibilmente unitario.

Il Garante intende prescrivere a tutti ititolari in ambito privato e pubblico alcune misure opportune e formulareindicazioni per semplificare l'informativa nei termini di cui al seguentedispositivo (artt. 2, comma 2, 13, commi 3 e 5 e 154, comma 1, lett. c)).

3. Il consenso:  Il Garante, conriferimento al consenso (art. 23), considerati i princìpi di efficacia eproporzionalità e in relazione agli artt. 2, 18, 24 comma 1 e 154, comma 1,lett. c), del Codice, intende anche prescrivere a tutti i titolari deltrattamento pubblici e privati alcune misure opportune affinché non richiedanoil consenso nei vari casi in cui esso non deve essere richiesto (dai soggettipubblici) o è superfluo (per i soggetti privati). Ciò, in particolare, quando:

a) il trattamento dei dati in ambitoprivato è svolto per adempiere a obblighi contrattuali o normativi o, comunque,per ordinarie finalità amministrative e contabili;

b) i dati trattati provengono dapubblici registri ed elenchi pubblici conoscibili da chiunque o sono relativiallo svolgimento di attività economiche dell'interessato (v., per i presuppostirelativi a ciascuno dei predetti casi, l'art. 24, comma 1; v. anche l'art. 18,comma 4).

Il Garante, in applicazione dell'istitutodel bilanciamento degli interessi (art. 24, comma 1, lett. g)) intende ancheindividuare un'ulteriore ipotesi nella quale il consenso non va richiesto.

Il titolare del trattamento che abbia giàvenduto un prodotto o prestato un servizio a un interessato, nel quadro dellosvolgimento di ordinarie finalità amministrative e contabili, potrà utilizzarenei termini di cui al seguente dispositivo i recapiti (oltre che di postaelettronica, come già previsto per legge: art. 130, comma 4) di posta cartaceaforniti dall'interessato medesimo, per inviare ulteriore suo materialepubblicitario o promuovere una sua vendita diretta o per compiere sue ricerchedi mercato o di comunicazione commerciale.

Tale bilanciamento degli interessiconsidera le difficoltà rappresentate da alcuni operatori economici nelconservare un proprio diretto "canale comunicativo" con i soggetti con i quali abbiano giàinstaurato un rapporto contrattuale; tiene al tempo stesso conto del dirittodell'interessato a non essere disturbato mediante comunicazioni promozionali,in base a garanzie analoghe a quelle previste, per la situazione appenaindicata, per l'uso della posta elettronica (art. 130, comma 4; v. anche, conriguardo alle comunicazioni postali, l' art. 58, comma 2, d.lg. n. 206/2005).

Non è necessario rivolgere un'istanza alGarante per avvalersi delle opportunità previste dal presente punto 3.

Viene infine dato atto nel seguentedispositivo di alcune altre risultanze dell'istruttoria relative alladesignazione degli incaricati del trattamento e alla notificazione deitrattamenti.

TUTTO CIÒ PREMESSO ILGARANTE

1) ai sensi degli artt. 2, comma 2,13, commi 3 e 5 e 154, comma 1, lett. c), del Codice formula a tutti i titolaridel trattamento in ambito privato e pubblico, in particolare a piccole e medieimprese, liberi professionisti, artigiani, le seguenti indicazioni persemplificare l'informativa rispetto allo svolgimento di correnti finalitàamministrative e contabili, anche in relazione all'adempimento di obblighicontrattuali, precontrattuali o normativi. Detti soggetti possono:

a) fornire un'unica informativa peril complesso dei trattamenti, anziché per singoli aspetti del rapporto con gliinteressati;

b) fornire a questi ultimi unaricostruzione organica dei trattamenti e con linguaggio semplice, senzaframmentarla o reiterarla inutilmente;

c) indicare le informazioniessenziali in un quadro adeguato di lealtà e correttezza;

d) redigere, per quanto possibile,una prima informativa breve. All'interessato, anche oralmente, andrebberoindicate sinteticamente alcune prime notizie chiarendo subito, conimmediatezza, le principali caratteristiche del trattamento. In linea dimassima l'informativa breve, quando è scritta, può avere la seguenteformulazione:

e) per l'informativa, specie per quellabreve, si possono utilizzare gli spazi utili nel materiale cartaceo e nellacorrispondenza che si impiegano già, ordinariamente, per finalitàamministrative e contabili;

f) l'informativa breve può rinviarea un testo più articolato, disponibile agevolmente senza oneri per gliinteressati, in luoghi e con modalità facilmente accessibili anche construmenti informatici e telematici (in particolare, tramite reti Intranet o siti Internet, affissioni in bacheche o locali, avvisi e cartelli agli sportelli perla clientela, messaggi preregistrati disponibili digitando un numero telefonicogratuito).
Anche questa più ampia informativa deve essere improntata acorrettezza, tenendo conto di possibili modifiche del trattamento, ed esserebasata su espressioni sintetiche, chiare e comprensibili. Le notizie daindicare per legge (art. 13, comma 1) devono essere aggiornate, specificando ladata dell'ultimo aggiornamento;

g) è possibile non inserirenell'informativa più articolata gli elementi noti all'interessato (art. 13,commi 2 e 4). E' opportuno omettere riferimenti meramente burocratici ocircostanze ovvie, per esempio quando alcune informazioni, compresi gli estremiidentificativi del titolare, risultano da altre parti del documento in cui èpresente l'informativa. Vanno utilizzate espressioni efficaci, anche sesintetiche, anche per quanto riguarda i diritti degli interessati e l'organismoo soggetto al quale rivolgersi per esercitarli. Se è prevista la raccolta didati presso terzi è possibile formulare una sola informativa per i dati fornitidirettamente dall'interessato e per quelli che saranno acquisiti presso terzi.Per questi ultimi dati, l'informativa può non essere fornita quando vi è unobbligo normativo di trattarli (art. 13, comma 5);

h) è opportuno che l'informativa piùarticolata sia basata su uno schema tendenzialmente uniforme per il settore diattività del titolare del trattamento;

i) è invece necessario fornireun'informativa specifica o ad hocquando il trattamento ha caratteristiche del tutto particolari perchécoinvolge, ad esempio, peculiari informazioni (es. dati genetici) o prevede formeinusuali di utilizzazione di dati, specie sensibili, rispetto alle ordinarieesigenze amministrative e contabili, o può comportare rischi specifici per gliinteressati (ad esempio, rispetto a determinate forme di uso di dati biometricio di controllo delle attività dei lavoratori). Se il titolare del trattamento èun soggetto pubblico devono essere inserite le indicazioni che la legge prevedeper i dati sensibili e giudiziari;

2)  invita le associazioni dicategoria a predisporre informative-tipo per determinati settori o categorie ditrattamento, anche in collaborazione con questa Autorità. Il Garante si riservain questo quadro di porre a disposizione gratuita (chiedendo anche lacollaborazione delle camere di commercio), un kit contenente concrete istruzioni e fac-simile per semplificare tutti gli adempimenti in materia;

3)   richiama l'attenzione deititolari del trattamento sulla circostanza che la designazione degli incaricatidel trattamento può avvenire in modo semplificato evitando singoli atticircostanziati relativi distintamente a ciascun incaricato, individuando itrattamenti di dati e le relative modalità che sono consentiti all'unità cuisono addetti gli incaricati stessi (art. 30);

4)  richiama l'attenzione deititolari del trattamento sulla circostanza che, per effetto delle previsionidel Codice e delle determinazioni già adottate da questa Autorità, lanotificazione telematica al Garante non è necessaria per perseguire finalitàamministrative e contabili, salvo che per eventuali casi eccezionali indicatiper legge (art. 37);

5) ai sensi degli artt. 2, comma 2,24 e 154, comma 1, lett. c), del Codice invita tutti i titolari del trattamentopubblici e privati a non chiedere il consenso degli interessati quando iltrattamento dei dati è svolto, anche in relazione all'adempimento di obblighicontrattuali, precontrattuali o normativi, esclusivamente per correnti finalitàamministrative e contabili, nonché quando i dati provengono da pubbliciregistri ed elenchi pubblici conoscibili da chiunque, o sono relativi allosvolgimento di attività economiche o sono trattati da un soggetto pubblico;

6) in applicazione del principio delbilanciamento degli interessi (art. 24, comma 1, lett. g)), dispone che ititolari del trattamento in ambito privato che hanno venduto un prodotto oprestato un servizio, nel quadro del perseguimento di ordinarie finalitàamministrative e contabili, possono utilizzare senza il consenso i recapiti(oltre che di posta elettronica come già previsto per legge) di posta cartaceaforniti dall'interessato, ai fini dell'invio diretto di proprio materialepubblicitario o di propria vendita diretta o per il compimento di propriericerche di mercato o di comunicazione commerciale. Ciò, rispettando anche legaranzie previste per le attività di profilazione degli interessati (Provv. 24 febbraio 2005), a condizioneche:

a) tale attività promozionaleriguardi beni e servizi del medesimo titolare e analoghi a quelli oggetto dellavendita;

b) l'interessato, al momento dellaraccolta e in occasione dell'invio di ogni comunicazione effettuata per lemenzionate finalità, sia informato della possibilità di opporsi in ogni momentoal trattamento, in maniera agevole e gratuitamente, anche mediante l'utilizzodella posta elettronica o del fax o del telefono e di ottenere un immediatoriscontro che confermi l'interruzione di tale trattamento (art. 7, comma 4);

c) l'interessato medesimo, cosìadeguatamente informato già prima dell'instaurazione del rapporto, non siopponga a tale uso, inizialmente o in occasione di successive comunicazioni;

7) dispone che copia del presenteprovvedimento sia trasmessa al Ministero della giustizia-Ufficio pubblicazioneleggi e decreti, per la sua pubblicazione sulla Gazzetta Ufficiale della Repubblica italiana, nonché alle associazionidi categoria, ai ministeri interessati e alle camere di commercio.

Roma, 19 giugno 2008

Il presidente
Pizzetti

Il relatore
Pizzetti

Il segretario generale
Buttarelli

(*) Congiuntamenteal presente provvedimento sulla semplificazione, in fase di pubblicazione sullaGazzetta ufficiale, il Garante ha segnalato alle competenti autorità di Governol'opportunità di apportare una modifica al Codice con riferimento alladisciplina delle misure minime di sicurezza e al documento programmatico, percontemperare meglio l'applicazione delle necessarie cautele di sicurezza deidati e dei sistemi con l'esigenza di adattarle alle attività che, specie pressopiccole e medie imprese, liberi professionisti e artigiani, vengono svolte inrelazione ad attività di corrente gestione amministrativa e contabile.

In tale prospettiva, il Garante ha ipotizzatouna modifica normativa dell'art. 33 del Codice, del seguente tenore:

"Art.

All'articolo 33 deldecreto legislativo 30 giugno 2003 n. 196, dopo il comma 1, è aggiunto ilseguente:  "1-bis. Il Garante può individuare con proprioprovvedimento modalità semplificate in ordine all'adozione delle misure minimedi cui al comma 1, con riferimento ai trattamenti effettuati per correntifinalità amministrative e contabili, in particolare presso piccole e medieimprese, liberi professionisti e artigiani".".