Cai: informativa  semplificata per i clienti

Provvedimento del 8 gennaio 2009

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATA l'istanza del 17 dicembre 2008 con cui le "società Az" (Alitalia-Linee aeree italiane S.p.A., di seguito Az; Alitalia Servizi S.p.A., di seguito Az Servizi; Alitalia Airport S.p.A., di seguito Az Airport; Alitalia Express S.p.A., di seguito Az Express; Volare S.p.A., di seguito Volare) –poste in regime di amministrazione straordinaria (a norma dell'art. 2 d.l. 23 dicembre 2003, n. 347, convertito dalla legge 18 febbraio 2004, n. 39, come modificato e integrato dal d.l. 28 agosto 2008, n. 134, convertito in legge, con modificazioni, dall'art. 1, comma 1, l. 27 ottobre 2008, n. 166) in forza del d.P.C.M. 29 agosto 2008 (Ammissione della società Alitalia - Linee aeree italiane S.p.a. alla procedura di amministrazione straordinaria e nomina del commissario straordinario)– e le "società Cai" (Cai-Compagnia aerea italiana S.p.A., di seguito Cai; Cai First S.p.A., di seguito Cai First; Cai Second S.p.A., di seguito Cai Second) hanno richiesto congiuntamente a questa Autorità di essere esonerate dall'obbligo di rendere l'informativa agli interessati, costituiti da clienti, fornitori, equipaggi e soggetti manutentori e certificatori della flotta di aeromobili (cfr. punto 1.2.), in relazione ai trattamenti di dati personali conseguenti alle operazioni derivanti dalle "cessioni di complessi di beni e contratti" (di seguito, "cessioni") facenti capo alle società Az a vantaggio delle società Cai, nonché all'individuazione di un presupposto alternativo rispetto al consenso degli interessati per le comunicazioni dei dati personali effettuate in corrispondenza delle diverse cessioni e per il conseguente trattamento da parte delle società Cai;

VISTA la documentazione in atti, con particolare riferimento al contratto di cessione;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196), anche in riferimento agli artt. 13, 16, e 24;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Giuseppe Chiaravalloti;

1. L'istanza delle società
1.1. È pervenuta a questa Autorità un'istanza formulata congiuntamente dalle società Az e Cai con cui è stato chiesto, in relazione alle cessioni perfezionatesi tra le parti con effetti decorrenti dal 12 gennaio 2009, l'esonero dall'obbligo di rendere individualmente l'informativa agli interessati e la contestuale indicazione di eventuali misure appropriate ai sensi dell'art. 13, comma 5, lett. c), del Codice. La richiesta è motivata dal fatto che le società Cai, a seguito della trattativa privata intercorsa con il commissario straordinario delle società Az (conclusasi in data 20 novembre 2008 con la conseguente stipulazione del contratto per atto pubblico avvenuta in data 12 dicembre 2008), si sono rese cessionarie, con effetti decorrenti dal 12 gennaio 2009, di complessi di beni e contratti facenti capo alle società cedenti (cfr. l'istanza presentata il 17 dicembre 2008, p. 4).

1.2. Le cessioni comporteranno, oltre a effetti sulla titolarità di beni e rapporti giuridici, il trattamento di dati personali (come dichiarato dalle società istanti, di regola anagrafici o relativi a transazioni di natura economica), nella forma della cessione di interi database organizzati in base alle diverse categorie di soggetti censiti, e mutamenti nella qualità di titolare del trattamento in relazione agli stessi, riferiti alle seguenti tipologie di interessati:

a. clienti (creditori di prestazioni di trasporto da eseguirsi divenuta efficace la cessione; soggetti –anche diversi da persone fisiche– partecipanti a programmi di fidelizzazione; soggetti che hanno fruito in passato dei servizi di trasporto delle società cedenti);

b. fornitori, anche pregressi;

c. equipaggi e soggetti manutentori e certificatori della flotta di aeromobili (i cui nominativi sono contenuti in database destinati a comprendere dati relativi alla categoria "aeromobili e simulatori").

Non formano oggetto di comunicazione i dati personali relativi ai dipendenti delle società Az (cfr. allegato alla comunicazione del 24 dicembre 2008 2.1(b)(VII) parte II).

Secondo quanto dichiarato dalle società istanti, il trattamento dei dati riferito alle menzionate tipologie di interessati proseguirebbe in termini sostanzialmente invariati per quanto concerne le finalità e le modalità seguite; infatti, le informazioni rese disponibili dalle società Az alle società Cai sarebbero destinate a trattamenti compatibili con gli scopi per i quali le stesse sono state in precedenza raccolte e trattate (cfr. l'istanza presentata il 17 dicembre 2008, pp. 9-10).

Nel complesso, le operazioni di cessione, secondo le stime effettuate dalle società istanti, riguarderebbero una pluralità di database contenenti i nominativi (e ulteriori dati personali) di un numero particolarmente elevato di soggetti, essendovi coinvolti più di 4000 fornitori e "diversi milioni" di clienti, essendo circa 3.000.000 già solo quelli aderenti a programmi di fidelizzazione (cfr. l'istanza presentata il 17 dicembre 2008, pp. 5-9 e gli elenchi dei database allegati alla comunicazione del 24 dicembre 2008, nonché la comunicazione del 7 gennaio 2009).

1.3. Nel dettaglio, i flussi comunicativi tra le società coinvolte nelle operazioni di cessione, limitatamente ai dati personali riferiti ai fornitori ceduti, sono stati così individuati (e ulteriormente precisati nella comunicazione del 24 dicembre 2008):

a. Az e Az Express effettueranno la comunicazione, rispettivamente, a Cai e a Cai First;

b. Az Servizi e Az Airport effettueranno la comunicazione a Cai;

c. Volare effettuerà la comunicazione a Cai Second.

Inoltre, ciascuna delle società Az, provvederà a comunicare le informazioni relative ai fornitori pregressi (ovvero attuali, ma che non rientrano nelle operazioni di cessione) alle società Cai di volta in volta interessate.

Per quanto concerne i clienti ceduti, i flussi comunicativi sono stati individuati nei seguenti termini:

d. limitatamente ai clienti aderenti a programmi di fidelizzazione (sia persone fisiche che giuridiche), i dati saranno comunicati da Az a Cai;

e. limitatamente ai clienti che hanno già fruito in passato di servizi da parte delle società Az (c.d. "clienti volati"), i dati saranno comunicati da Az a Cai, da Az Express a Cai e a Cai First e da Volare a Cai Second;

f. limitatamente ai clienti rispetto ai quali i servizi di trasporto dovranno essere resi dalle società Cai una volta divenute efficaci le cessioni (c.d. "clienti non volati"), Az e Az Express effettueranno la comunicazione, rispettivamente, a Cai e Cai First, mentre Volare effettuerà la comunicazione a Cai Second.

Relativamente, infine, ai dati personali inerenti all'identità degli equipaggi ovvero dei soggetti che hanno effettuato o certificato le operazioni di manutenzione sugli aeromobili (o parti di essi) e sui simulatori, questi saranno comunicati da Az, da Az Express e da Volare a Cai e a Cai First.

1.4. In previsione della conseguente assunzione da parte delle società Cai della qualità di titolare del trattamento dei dati personali relativi agli interessati (limitatamente ai rispettivi ambiti di competenza), le medesime ritengono di doverli informare riguardo a tali circostanze (art. 13 del Codice). A detta delle società istanti sussisterebbero, tuttavia, notevoli difficoltà nell'informare in modo adeguato un numero così elevato di soggetti coinvolti nelle operazioni di cessione; ciò comporterebbe, infatti, l'impiego di mezzi manifestamente sproporzionati rispetto ai diritti degli interessati.

Alla luce di tali considerazioni, le società Cai chiedono di poter fornire l'informativa non mediante comunicazioni individuali da effettuarsi all'atto dell'assunzione della titolarità dei trattamenti di dati personali memorizzati in distinti database rientranti nelle operazioni di cessione, ma attraverso modalità alternative, ad esempio mediante l'eventuale diffusione di un avviso sulla Gazzetta Ufficiale della Repubblica italiana, ovvero tramite annunci pubblicati su alcuni quotidiani a diffusione nazionale o su propri siti web, ovvero, ancora, mediante affissione presso i principali scali di volo e le agenzie delle società Cai. In ogni caso, le medesime società Cai hanno manifestato la propria disponibilità a comunicare agli interessati (in forma individualizzata) gli elementi di cui all'art. 13 del Codice alla prima occasione utile successiva all'avvenuta cessione.

1.5. Sotto altro profilo, le società istanti hanno chiesto a questa Autorità, alla luce della peculiare disciplina approntata dall'ordinamento con riguardo alla ristrutturazione industriale delle grandi imprese in crisi e alla prestazione di servizi pubblici essenziali, di contemperare i diritti e il legittimo interesse dei soggetti cui si riferiscono i dati personali con gli interessi (inerenti alla tutela della collettività) protetti dalle discipline di settore appena menzionate; ciò, in considerazione dell'asserita impossibilità –derivante, oltre che dalla complessità delle citate operazioni di cessione, dal ridotto periodo di tempo a disposizione e dall'elevato numero di soggetti coinvolti nei diversi trattamenti– di richiedere e acquisire il consenso di ciascuno degli interessati.

In proposito, al fine di garantire la regolarità e la continuità del servizio di trasporto aereo (anche nell'ottica di evitare disagi sociali e problemi operativi alle strutture aeroportuali, oltre che serio pregiudizio al sistema turistico nazionale), le società istanti hanno chiesto all'Autorità di verificare, in assenza di ulteriori presupposti di liceità del trattamento applicabili, la presenza delle condizioni previste dall'art. 24, comma 1, lett. g), del Codice (c.d. bilanciamento di interessi), ritenendo possibile contemperare, nel caso di specie, la tutela dei diritti e delle libertà degli interessati con l'interesse dei titolari del trattamento e con quello alla stabilità del servizio pubblico essenziale espletato (con conseguenti riflessi a vantaggio della collettività). Ciò, considerate le "finalità del trattamento dei dati oggetto della comunicazione che rimangono di fatto immutate sicché i soggetti interessati non subirebbero alcun reale pregiudizio dalla mancata prestazione del consenso" (cfr. istanza presentata in data 17 dicembre 2008, punto 4.8.1.).

2. L'informativa agli interessati
La richiesta formulata congiuntamente dalle società Az e dalle società Cai concerne l'esonero dall'obbligo di rendere l'informativa in forma individuale e la contestuale autorizzazione ad adottare modalità alternative ed equipollenti per rendere edotti gli interessati in ordine alla raccolta di dati personali (art. 13, commi 4 e 5, del Codice) presso terzi. Tali operazioni, infatti, non possono che riverberare i loro effetti anche sotto il profilo della protezione dei dati personali, avuto riguardo al complesso di informazioni rese disponibili dall'amministrazione straordinaria delle società Az alle società Cai per effetto delle operazioni di cessione.

In proposito, giova rilevare preliminarmente che, rispetto a tali operazioni, i cessionari che raccolgono i dati presso soggetti diversi dall'interessato (nel caso di specie, le società cedenti) sono tenuti a rendere ai soggetti ceduti, al momento della registrazione dei dati ovvero non oltre la prima loro comunicazione (se prevista), l'informativa sul trattamento effettuato (art. 13, comma 4, del Codice). Ove quest'ultima fosse resa singolarmente con la tempistica prevista dal menzionato art. 13, comma 4, del Codice (stante anche l'elevato numero di soggetti coinvolti nella citata operazione di cessione), potrebbe risultare impossibile fornirla e, comunque, ciò comporterebbe costi e oneri amministrativi manifestamente sproporzionati rispetto al diritto tutelato. Si deve infatti tenere conto dell'immutata finalità dei trattamenti dei dati oggetto di cessione (attestata sotto la propria responsabilità dalle società istanti) e della (già ampia) notorietà acquisita dalla vicenda, quantomeno nei suoi tratti generali, presso il pubblico (non limitato alla sola comunità nazionale).

Alla luce di tutto ciò, il Garante, ai sensi dell'art. 13, comma 5, lett. c), del Codice, rileva che l'impiego dei mezzi necessari a rendere l'informativa singolarmente a ciascuno degli interessati coinvolti nell'operazione di cessione risulta sproporzionato rispetto all'interesse che il precetto contenuto nel suddetto art. 13, comma 4, del Codice intende tutelare.

L'informativa avente per contenuto gli elementi previsti all'art. 13 del Codice e non già noti agli interessati, nel caso di specie, potrà essere quindi essere resa da parte delle società Cai:

a. mediante la pubblicazione di un annuncio sui siti web delle società coinvolte nella cessione e, anche in un unico contesto, su quattro quotidiani, individuati nelle testate The Financial Times, Il Corriere della Sera, Il Sole 24 ore e La Repubblica. Trattasi delle testate tramite le quali sono state sollecitate, in data 22 settembre 2008, le manifestazioni di interesse da parte di terzi per l'acquisto di beni o attività produttive delle società Az (cfr. istanza presentata il 17 dicembre 2008, punto 1.5.). La pubblicazione dovrà avvenire entro e non oltre il 13 gennaio 2009;

b. inoltre, mediante la comunicazione agli interessati in occasione della prima circostanza utile di contatto successiva alla cessione.

3. Presupposti alternativi al consenso degli interessati coinvolti nelle operazioni di cessione
3.1. Come detto, le operazioni di cessione sopra descritte non esauriscono i propri effetti sul piano negoziale (profilo che in questa sede non forma oggetto di valutazione), ma comportano in pari tempo una pluralità di operazioni di trattamento di dati personali (connesse ai rapporti ceduti in blocco), con conseguente applicazione del Codice. Di tali operazioni, e della disciplina cui sono soggette, è necessario tener conto in ragione dei riflessi che possono derivarne rispetto ai profili di protezione dei dati e, in particolare, in relazione alla necessaria sussistenza del consenso degli interessati (art. 23 del Codice) o di altro presupposto di liceità del trattamento (art. 24 del Codice).

3.2. In relazione alle operazioni di cessione in blocco di rapporti in essere, relativi sia a clienti creditori di prestazioni derivanti dalla partecipazione a programmi di fidelizzazione delle società Az (quale il programma "Millemiglia"), sia a clienti creditori di prestazioni di trasporto da effettuarsi divenute efficaci le operazioni di cessione (che hanno per lo più già pagato il corrispettivo dovuto), deve ritenersi giustificato, anche in relazione ai profili di protezione dei dati personali, prevedere con il presente provvedimento la facoltà di prescindere dall'acquisizione del consenso di ciascuno dei clienti interessati ai fini della comunicazione (e del successivo trattamento) dei dati personali necessari all'esecuzione delle prestazioni destinate a essere eseguite dalle società Cai, atteso che le società Cai (come risulta dal punto 8.1.I del contratto relativo alle cessioni) si sono accollate dette obbligazioni (senza che l'ordinamento richieda al riguardo il consenso del creditore).

Deve infatti ritenersi integrata, limitatamente ai dati diversi da quelli sensibili, la fattispecie prevista nell'art. 24, comma 1, lett. g), del Codice sì che, sempre per effetto del presente provvedimento, il trattamento dei dati personali riferibili ai c.d. "clienti non volati" e a quelli rientranti in programmi di fidelizzazione –creditori di prestazioni già dovute dalle società Az e per effetto della cessione destinate ad essere eseguite dalle società Cai– potrà ritenersi lecito (in relazione alle medesime finalità originariamente perseguite), anche in assenza del consenso dei clienti interessati.

Ciò, anche in ragione dell'immutata finalità del trattamento dei dati oggetto delle operazioni di cessione (per dichiarazione stessa delle società istanti, la cui genuinità rileva anche ai sensi dell'art. 168 del Codice), del vantaggio derivante in capo agli aderenti a programmi di fidelizzazione (che vedono preservate eventuali pretese maturate o maturande) e, in relazione ai clienti che abbiano già acquistato un titolo di viaggio, considerate le esigenze di speditezza e continuità del servizio pubblico essenziale di trasporto aereo.

3.3. In relazione ai dati personali coinvolti nella cessione dei contratti intercorrenti tra le società Az e Cai e indicati analiticamente al punto 2.2. del contratto relativo alle cessioni in relazione a quelli per i quali verrà acquisito il "consenso scritto delle controparti contrattuali al trasferimento" dei medesimi (cfr. clausola contrattuale richiamata), deve ritenersi integrata, limitatamente ai dati diversi da quelli sensibili, la fattispecie prevista nell'art. 24, comma 1, lett. b), del Codice sì che il trattamento dei dati personali riferibili ai contraenti ceduti che abbiano prestato il consenso alla cessione del contratto che li legava alle società Az (cedenti) deve ritenersi lecito (in relazione alle medesime finalità originariamente perseguite), anche in assenza del loro consenso.

3.4. La disciplina di protezione dei dati personali non preclude, nel caso di società in amministrazione controllata per le quali sia approvato un programma di cessione dei complessi di beni e contratti e a condizione che i dati comunicati siano trattati nell'ambito delle finalità originariamente perseguite (nel caso di specie, dalle società Az), che possano formare oggetto di comunicazione le informazioni personali relative ai contratti che hanno già avuto esecuzione (relativi ai c.d. "clienti volati"), come pure relativi a fornitori che hanno prestato i propri servizi nei confronti delle società Az; informazioni, queste, raccolte e organizzate in distinti database realizzati dalle società Az (cfr. comunicazione del 24 dicembre 2008).

Il contratto stipulato tra le società Az e Cai prevede, regolandone tempi e modalità d'uso, la cessione di tali database. In particolare, con riferimento al database contenente i dati personali riferiti ai c.d. "clienti volati" (nome e cognome del passeggero, tratta effettuata e relativi orari di decollo e atterraggio), il trattamento effettuato dalle società Cai –atteso che "il sistema informatico che gestisce i dati dei clienti volati […] non consente la cancellazione selettiva del nome e cognome dei passeggeri né in altro modo permette l'anonimizzazione dei dati" (cfr. comunicazione del 24 dicembre 2008, punto D)– sarà limitato unicamente all'esecuzione, in forma aggregata, di indagini di mercato e per "eseguire delle proiezioni di tipo statistico e di ricerca" (cfr. la comunicazione del 24 dicembre 2008, punto D) e, negli stessi termini, già l'istanza congiunta presentata il 17 dicembre 2008, punto 5).

Considerate le dichiarazioni delle società istanti, deve rilevarsi che la cessione in vista del successivo utilizzo di tali database (come si dirà, nel rispetto dei princìpi di protezione dei dati personali) ha formato oggetto di apposita pattuizione nella cessione concorrendo alla complessiva valutazione dell'operazione dal punto di vista economico (cfr. le decisioni della Corte europea dei diritti dell'uomo del 26 giugno 1986, Van Marle and Others v. The Netherlands e quella del 25 maggio 2005, Buzescu v. Romania, relative a vicende in parte assimilabili e, più precisamente, alla suscettibilità di valutazione patrimoniale della clientela come elemento dell'avviamento). In ragione di tale considerazione, e rilevato che, al fine di consentire il "recupero dell'equilibrio economico delle attività imprenditoriali" delle società Az insolventi ammesse all'amministrazione straordinaria, il commissario straordinario è tenuto (come nel caso di specie), nella liquidazione delle poste attive, a trasferire le utilità suscettibili di essere annoverate, secondo la valutazione delle parti, nell'ambito della cessione di "complessi di beni e contratti" (come risulta dall'articolato quadro normativo vigente: cfr. art. 27 commi 1 e 2, lett. b-bis), d.lg. 8 luglio 1999, n. 270; art. 4, comma 4-quater, d.l. 23 dicembre 2003, n. 347, convertito in legge 18 febbraio 2004, n. 39, aggiunto dall'art. 1, comma 10, d.l. 28 agosto 2008, n. 134 nel testo integrato dalla relativa legge di conversione che richiama espressamente l'art. 105, comma 5, r.d. 16 marzo 1942, n. 267, recante "Disciplina del fallimento, del concordato preventivo, dell'amministrazione controllata e della liquidazione coatta amministrativa"; v. pure artt. 2 e 3 d.P.C.M. 13 novembre 2008, Poteri al commissario straordinario per S.p.A. Alitalia), deve ritenersi che le informazioni personali contenute nei menzionati database possano formare oggetto di comunicazione, ai sensi dell'art. 24, comma 1, lett. a), del Codice (essendo tale comunicazione necessaria per dare esecuzione ad un obbligo legale gravante in capo al commissario straordinario) e, conseguentemente, di successivo trattamento da parte delle società Cai.

Ciò deve avvenire, tuttavia, nel rispetto dei princìpi di protezione dei dati personali (che alla luce delle dichiarazioni rese dalle società istanti, allo stato degli atti, non risultano violati): in particolare, del principio di finalità (art. 11, comma 1, lett. b) del Codice), in base al quale i dati personali acquisiti dalle società Cai potranno essere trattati per finalità non incompatibili con quelle che ne hanno giustificato la raccolta. Principio, questo, che trova peraltro applicazione puntuale, in caso di cessazione del trattamento, nella previsione contenuta all'art. 16, comma 1, lett. b), del Codice che ammette la cessione dei dati ad altro titolare (in presenza di uno dei presupposti di cui agli artt. 23, 24 ovvero 26 del Codice), purché gli stessi siano "destinati ad un trattamento in termini compatibili agli scopi per i quali i dati sono raccolti".

Del pari, dovrà trovare piena attuazione, eventualmente con l'introduzione di apposite misure tecnologiche, anche il principio di pertinenza e non eccedenza, rispetto al quale il Garante si è pronunciato in casi analoghi con specifico riguardo ai tempi di conservazione e alle modalità di utilizzo dei dati riferiti agli spostamenti di abbonati in conseguenza dell'introduzione di sistemi di bigliettazione elettronica nell'ambito del trasporto pubblico locale (cfr. Provv.ti 6 settembre 2006, in particolare ai punti 3.5., 1 e 2); a questo riguardo, questa Autorità si riserva di effettuare ulteriori accertamenti.

3.5. Anche in relazione ai dati personali relativi agli equipaggi, ai soggetti manutentori e ai certificatori della flotta di aeromobili, il trattamento dei dati personali può avvenire, nel rispetto del principio di finalità, in base alla previsione contenuta nell'art. 24, comma 1, lett. a) del Codice. Infatti, come chiarito nella comunicazione del 24 dicembre 2004 (punto C), tali informazioni corrispondono sostanzialmente a quelle previste per la regolare tenuta dei registri di aeronavigabilità di cui al Regolamento (Ce) 2042/2003 della Commissione europea del 20 novembre 2003 e le medesime sono oggetto, altresì, di apposita previsione (in relazione alla tenuta e conservazione del quaderno tecnico di bordo) nel Regolamento tecnico adottato dall'Ente nazionale per l'aviazione civile-Enac (tit. III, cap. I), adottato ai sensi dell'art. 687 del r.d. 30 marzo 1942, n. 327 (Codice della navigazione).

Resta ferma la necessità che i trattamenti di dati effettuati dalle società Cai siano svolti in conformità alla legge anche per altri profili non oggetto del presente provvedimento, profili per i quali questa Autorità si riserva di svolgere all'occorrenza opportune verifiche.

TUTTO CIÒ PREMESSO IL GARANTE:

1. dispone ai sensi dell'art. 13, comma 5, del Codice, che le società Cai interessate dalle operazioni di cessione tra le società Az e Cai possano prescindere, per le ragioni di cui in motivazione, dal rendere l'informativa individuale agli interessati, sempre che le società Cai forniscano agli interessati la prevista informativa:

a. mediante la pubblicazione di un annuncio sui siti web delle società coinvolte nella cessione e, anche in un unico contesto, su quattro quotidiani, individuati nelle testate The Financial Times, Il Corriere della Sera, Il Sole 24 ore e La Repubblica. La pubblicazione dovrà avvenire entro e non oltre il 13 gennaio 2009;

b. inoltre, mediante la comunicazione agli interessati in occasione della prima circostanza utile di contatto successiva alla cessione (punto 2);

2. dispone, ai sensi dell'art. 24, comma 1, lett. g), del Codice, che per effetto del presente provvedimento i trattamenti di dati personali riferibili alla clientela creditrice di prestazioni da parte delle società Az oggetto di cessione alle società Cai (partecipanti a programmi di fidelizzazione e c.d. "clienti non volati"), limitatamente alle informazioni di natura non sensibile, possono essere effettuati anche in assenza del consenso degli interessati, nei limiti delle finalità originarie della raccolta (punto 3.2.).

Roma, 8 gennaio 2009

Il presidente
Pizzetti

Il relatore
Chiaravalloti

Il segretario generale
Buttarelli