MODIFICHE E INTEGRAZIONI ALLO SCHEMA TIPO DI REGOLAMENTO PER I TRATTAMENTI DEI DATI SENSIBILI E GIUDIZIARI SVOLTI PRESSO LE REGIONI E LE PROVINCE AUTONOME

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Vista la richiesta di parere sul documento recante modifiche e integrazioni allo schema tipo di regolamento per il trattamento dei dati sensibili e giudiziari presso le regioni e le province autonome (limitatamente alle assemblee legislative) predisposto dalla Conferenza dei presidenti delle assemblee legislative delle regioni e delle province autonome in data 6 maggio 2008 (prot. n. 52/MD/2008);

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante, n. 1/2000;

Relatore il dott. Giuseppe Fortunato;

PREMESSO:

La Conferenza dei presidenti delle assemblee legislative delle regioni e delle province autonome ha chiesto il parere del Garante in ordine ad alcune modifiche e integrazioni allo schema tipo di regolamento, sottoposto all'esame dell'Autorità in data 8 novembre 2005, riguardante i trattamenti dei dati sensibili e giudiziari svolti presso le regioni e le province autonome (limitatamente a quelli effettuati dalle assemblee legislative). In tale occasione, il Garante aveva espresso un parere condizionato al rispetto di alcune indicazioni (Provv. 29 dicembre 2005).
Il documento in esame è composto da quattro schede che individuano i tipi di dati trattati e di operazioni eseguibili nell'ambito delle attività effettuate da organismi di garanzia istituiti con legge regionale o provinciale presso le assemblee legislative regionali e provinciali. Tale documento apporta modifiche sostanziali e integrazioni non formali riguardanti il trattamento dei dati personali considerati nello schema tipo sopra richiamato e rende, quindi, necessario che l'Autorità si esprima con un nuovo parere ai sensi dell'art. 20, comma 2, del Codice.

OSSERVA:

1.  Considerazioni introduttive
In calce alle descrizioni del trattamento riportate nelle schede è menzionato il "trattamento accidentale dei dati sensibili e dati giudiziari", vale a dire la possibilità di rilevare accidentalmente informazioni concernenti, in particolare, l'origine razziale o etnica degli interessati. Tale riferimento è superfluo poiché la disciplina sulla protezione dei dati personali preclude l'utilizzo delle informazioni che risultano eccedenti, non pertinenti o non indispensabili, eventualmente acquisite in modo occasionale o fornite spontaneamente dall'interessato o desumibili indirettamente da altre informazioni trattate legittimamente, salvo che per l'eventuale conservazione, a norma di legge, dell'atto o del documento che li contiene (art. 22, comma 5, del Codice). Detto riferimento, pertanto, deve essere espunto.
Vanno inoltre riformulate le indicazioni contenute nelle descrizioni del trattamento relative al "flusso informativo", menzionando sinteticamente, in termini comunicativi, le attività prese in considerazione nelle singole schede, con particolare riguardo agli aspetti più incisivi per i diritti dei cittadini derivanti dalla circolazione dei dati sensibili e giudiziari che li riguardano. Non è, invece, necessario scendere in eccessivi livelli di dettaglio in ordine alle procedure amministrative interne all'ente che, peraltro, sono riportate in modo pressoché identico in tutte le schede in esame e fanno esclusivo riferimento a processi di trattamento non informatizzati, in difformità da quanto indicato nelle modalità di trattamento adottate.

2. Garante del contribuente regionale (scheda n. 1)
Con riferimento ai trattamenti di dati sensibili e giudiziari presi in considerazione in questa scheda, occorre verificare se la relativa titolarità sia effettivamente imputabile agli enti regionali o sia piuttosto riconducibile all'amministrazione finanziaria. La legge 27 luglio 2000, n. 212 prevede, infatti, che il Garante del contribuente sia istituito presso ogni direzione regionale delle entrate e direzione delle entrate delle province autonome (art. 13). Occorre, pertanto, verificare in primo luogo la titolarità del trattamento effettuato presso tale organismo e, nel caso in cui questa sia da ricondurre, come sembra, all'amministrazione finanziaria, espungere la scheda n. 1 dal documento in esame.

Diversamente, nel solo caso in cui la titolarità possa, in ipotesi, essere legittimamente riconosciuta in capo agli enti regionali, in applicazione del principio di semplificazione di cui all'art. 2, comma 2, del Codice, anche per favorire una più agevole lettura dello schema tipo di regolamento, valuti codesta Conferenza l'opportunità di far confluire il trattamento in esame nella scheda n. 6 (difesa civica regionale e provinciale) dello schema tipo già esaminato dal Garante, che prende in considerazione attività assimilabili a quelle in esame. In tal caso, la denominazione della suddetta scheda dovrà essere modificata con la seguente dicitura: "difensore civico e altri organismi di garanzia". Nel medesimo caso, le finalità del trattamento, inoltre, dovranno essere integrate menzionando quelle di rilevante interesse pubblico di cui all'art. 67 del Codice, mentre le operazioni di comunicazione dovranno essere delimitate alle sole pubbliche amministrazioni, gestori o concessionari di pubblico servizio "coinvolti nell'attività istruttoria". Tali modifiche potranno essere apportate senza necessità di richiedere un nuovo parere al Garante.

3. Garante per l'infanzia e l'adolescenza e Garante delle persone sottoposte a misure restrittive della libertà personale (schede nn. 2 e 3)
Vanno richiamate in via preliminare le osservazioni espresse con riferimento alla scheda n. 1, circa l'opportunità di far confluire i trattamenti in esame nella scheda n. 6 (difesa civica regionale e provinciale) dello schema tipo già esaminato dal Garante.

Con riferimento alla scheda n. 3, è necessario integrare le fonti normative con il riferimento alla legge nazionale di ratifica della Convenzione dell'Organizzazione delle Nazioni unite contro la tortura ed altre pene o trattamenti crudeli, disumani o degradanti firmata a New York il 10 dicembre 1984 (l. 3 novembre 1988, n. 498) con cui lo Stato italiano si è impegnato a configurare una serie di garanzie e di mezzi per assicurare alle persone in stato di privazione o di limitazione della libertà personale il rispetto dei propri diritti.

4. Attività del Comitato regionale per le comunicazioni (schede n. 14)
Per ciò che concerne l'integrazione della scheda n. 14 con l'indicazione delle informazioni idonee a rivelare lo stato di salute tra i tipi di dati trattati dal Comitato, occorre che sia valutata nuovamente l'indispensabilità dell'utilizzo di tali informazioni per perseguire le attività istituzionali del Comitato. In caso di esito positivo della valutazione, tale indispensabilità va comprovata -anche sinteticamente- nella descrizione del trattamento, evidenziando gli obblighi e gli adempimenti per il cui svolgimento risulti indispensabile trattare informazioni attinenti lo stato di salute. È, inoltre, necessario sottoporre la scheda così integrata al Garante per un nuovo parere, scheda nella quale dovrà altrimenti espungersi il riferimento ai dati predetti in quanto non indispensabili.

In conclusione, il Garante esprime parere favorevole sul documento recante modifiche e integrazioni allo schema tipo di regolamento per i trattamenti dei dati sensibili e giudiziari svolti presso le regioni e le province autonome (limitatamente a quelli effettuati dalle assemblee legislative) sottoposto all'esame dell'Autorità in data 6 maggio 2008 a condizione che siano rispettate le indicazioni sopra formulate nei punti da 1 a 4.

TUTTO CIÒ PREMESSO IL GARANTE:

ai sensi dell'art. 154, comma 1, lett. g) del Codice, esprime parere favorevole sul documento composto da quattro schede recanti modifiche e integrazioni allo schema tipo di regolamento per i trattamenti dei dati sensibili e giudiziari svolti presso le regioni e le province autonome (limitatamente a quelli effettuati dalle assemblee legislative) a condizione che siano rispettate le indicazioni fornite nei punti da 1 a 4 del presente parere, riguardanti:

      l'eliminazione dei riferimenti, riportati nelle schede in calce alle descrizioni del trattamento, relativi al "trattamento accidentale dei dati sensibili e dati giudiziari" e le modifiche relative alle indicazioni inerenti alle procedure amministrative interne all'ente menzionate nel "flusso informativo";

      la verifica della titolarità dei trattamenti effettuati presso il Garante del contribuente regionale (scheda n. 1) e, nel caso in cui essa risulti, come sembra, riconducibile all'amministrazione finanziaria, l'eliminazione della scheda ovvero, nel caso in cui risultino in ipotesi titolari gli enti regionali, la valutazione circa l'opportunità di inserire i trattamenti in esame nella scheda n. 6 dello schema tipo già esaminato dal Garante con le modifiche relative alla denominazione del trattamento, alle finalità di rilevante interesse pubblico e ai destinatari delle operazioni di comunicazione;

      l'opportunità di inserire i trattamenti effettuati dal Garante per l'infanzia e l'adolescenza e da quello delle persone sottoposte a misure restrittive della libertà personale (schede n. 2 e 3) nella scheda n. 6 dello schema tipo già esaminato dal Garante e l'integrazione delle fonti normative menzionate nella scheda n. 3;

      la valutazione circa l'indispensabilità dell'utilizzo di dati idonei a rivelare lo stato di salute per svolgere le attività del Comitato regionale per le comunicazioni (scheda n. 14).

Roma, 12 giugno 2008

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale
Buttarelli