PARERE SUL REGOLAMENTO PERIL TRATTAMENTO DEI DATI SENSIBILI E GIUDIZIARI PRESENTATO DALLA SCUOLA SUPERIOREDELLA PUBBLICA AMMINISTRAZIONE LOCALE

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza delprof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti,e del dott. Giovanni Buttarelli, segretario generale;

Visti gli articoli 20, comma 2, e 154,commi 1, lett. g), e 5, del Codice in materia di protezione dei dati personali(d.lg. 30 giugno 2003, n. 196);

Visto il provvedimento del Garante del 30giugno 2005 pubblicato in G.U. 23 luglio 2005, n. 170;

Vista la richiesta di parere sulregolamento per il trattamento dei dati sensibili e giudiziari presentato dallaScuola superiore della pubblica amministrazione locale il 12 dicembre 2007(prot. n. 11671 / 2007 / SSPAL / ADS / GDV);

Vista la documentazione in atti;

Viste le osservazioni dell'Ufficio,formulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante, n. 1/2000;

Relatore il dott. Giuseppe Fortunato;

PREMESSA

La Scuola superiore della pubblicaamministrazione locale ha chiesto il parere del Garante in ordine a uno schemadi regolamento per i trattamenti di dati sensibili e giudiziari da effettuarsipresso il medesimo ente.

La Scuola, al pari degli altri soggettipubblici, può trattare i dati sensibili e giudiziari in base a un'espressadisposizione di legge nella quale siano specificati i tipi di dati, leoperazioni eseguibili e le finalità di rilevante interesse pubblico perseguite.In presenza di una disposizione primaria che si limiti a specificare solo lafinalità di rilevante interesse pubblico, è necessario identificare e renderepubblici, in un atto di natura regolamentare conforme al parere reso dalGarante, i tipi di dati sensibili o giudiziari, nonché le operazioni eseguibiliin relazione alle finalità perseguite nei singoli casi al fine di renderelegittimo il trattamento (art. 20 del Codice).

Il documento che identifica i tipi didati e di operazioni di trattamento eseguibili a cura della Scuola, inrelazione a specifiche finalità perseguite nei singoli casi, viene sottopostoal parere dell'Autorità ai sensi dell'art. 20, comma 2, del Codice.

OSSERVA

1. Considerazioni generali
Risulta necessarioprecisare nelle premesse dello schema di regolamento in esame -non trasmesse aquesta Autorità- l'acquisizione del presente parere ai sensi dell'art. 154,comma 1, lett. g), del Codice.

In relazione al comma 1 dell'art. 2 delloschema, occorre fare riferimento esclusivamente alle disposizioni di legge cheprevedono le finalità di rilevante interesse pubblico individuate nelle schedeallegate. Anche per simmetria con l'elenco dei trattamenti di dati menzionatoal comma 4 del medesimo articolo, va inoltre verificata l'elencazione deitrattamenti presi in considerazione nelle schede B e C allegate allo schema, inmodo tale da evitare duplicazioni nella descrizione di trattamenti elencati inaltra scheda (v. scheda C con riferimento all'attività didattica).

2. Finalità di rilevante interessepubblico
I trattamenti di dati presi in considerazione nella scheda A,con riferimento alle attività di gestione del rapporto di lavoro, relativeanche alla concessione di permessi, aspettative o congedi per motivielettorali, sono interamente riconducibili alle finalità di rilevante interessepubblico previste dall'art. 112 del Codice. Non vanno pertanto menzionate lefinalità connesse all'applicazione della disciplina in materia di elettoratoattivo e passivo (art. 65 del Codice) o relative all'applicazione delledisposizioni in materia tributaria e doganale (art. 66 del Codice), le qualivanno quindi espunte dalla scheda.

Analogamente, i trattamenti di datidescritti nella scheda C sono riconducibili alle finalità di rilevanteinteresse pubblico previste dagli artt. 86 e 95 del Codice (istruzione eformazione, assistenza, integrazione sociale e diritti delle personehandicappate) e non anche a quelle di cui all'art. 64 del Codice (cittadinanza,immigrazione e condizione dello straniero). Il riferimento a quest'ultimoarticolo va quindi eliminato.

3. Tipi di dati
In via generale,l'individuazione con l'atto di natura regolamentare in questione delletipologie di dati trattati deve avere per oggetto unicamente informazionisensibili e giudiziarie (artt. 20 e 21 del Codice). Occorre pertanto verificarese i trattamenti di dati connessi all'"attività didattica (docenza,predisposizione di materiale didattico, dispense, testi di studio ericerca)", menzionati nelleschede A e B dello schema, riguardino effettivamente solo informazionisensibili e giudiziarie; i riferimenti ai trattamenti di informazioni di altranatura vanno infatti espunti dalle schede. In relazione a tale profilo, siprecisa, ad esempio, che i dati "anagrafici e bancari", quelli relativi "ai compensipercepiti", "allevalutazioni ottenute dai docenti in relazione ai loro interventiformativi" nell'ambito delleiniziative didattiche della Scuola, nonché quelli "inerenti al rapportodi lavoro dipendente dei docenti presso un Ente/organizzazione pubblica per leautorizzazioni richieste ai fini dello svolgimento di incarichiretribuiti" non configuranodati sensibili o giudiziari (art. 4, comma 1, lett. d) ed e), del Codice).

Con riferimento ai tipi di dati trattatinell'ambito delle attività di studio e di ricerca (scheda B), il riferimentoalle scienze mediche nella descrizione sintetica del trattamento appareincongruo dal momento che le finalità istituzionali della Scuola sonostrettamente connesse alle esigenze di formazione, aggiornamento especializzazione degli amministratori pubblici locali. Al riguardo non risultacomprovata l'asserita indispensabilità dell'utilizzo dei dati personalirelativi allo stato di salute e, in particolare, di quelli riguardanti le "terapiein corso a fini assicurativi"per elaborare studi e ricerche; ciò, specie se si considera che la schedariguarda gli studi e che, in base al quadro normativo applicabile alla Scuola,questi ultimi devono focalizzarsi in particolare su tematiche d'interesse pergli enti locali (art. 1, comma 3, lett. e) d.P.R. 20 ottobre 1998, n. 396). Occorrequindi valutare nuovamente tale indispensabilità e, in caso di esito positivodella valutazione, documentarla adeguatamente, risottoponendo la scheda alGarante per un nuovo parere, scheda nella quale dovrà altrimenti espungersi ilriferimento ai predetti tipi di dati.

4. Operazioni eseguibili
Occorreverificare se la comunicazione indicata nella scheda A nei riguardi dell'Inps "perincarichi dei prestatori occasionali non titolari di partita Iva" abbia effettivamente ad oggetto dati sensibili e/ogiudiziari. In caso negativo, va eliminato il riferimento a tale operazione,senza che sia necessario sottoporre nuovamente la scheda al parere del Garante.Diversamente, è necessario evidenziare le finalità perseguite e le basinormative eventualmente esistenti, sottoponendo al Garante, per il previstoparere, la scheda integrata in tal senso.

Si evidenzia inoltre la necessità dicomprovare l'indispensabilità delle interconnessioni e dei raffronti effettuaticon altri trattamenti o banche dati della Scuola, nonché con l'Agenzia autonomaper la gestione dell'Albo dei segretari comunali e provinciali. Talioperazioni, rientrando tra quelle che possono spiegare effetti maggiormentesignificativi per gli interessati vanno delimitate rigorosamente alla luce delprincipio di indispensabilità, verificando se, nei singoli casi, le attivitàprese in considerazione nello schema possano, come sembra, essere realizzateugualmente mediante un diverso tipo di collegamento informatico o telematicoattraverso il quale rendere disponibili, su richiesta, la trasmissione o laconsultazione in rete di informazioni detenute da altri uffici e strutturedello stesso titolare o da altri titolari del trattamento, senza laconsultazione diretta di banche dati. Occorre pertanto valutare nuovamentel'effettiva indispensabilità di tali operazioni nei termini sopra indicati e,in caso di esito positivo della valutazione, evidenziarla meglio individuando,nell'ipotesi di interconnessioni e raffronti tra sistemi informativi dellastessa Scuola, le finalità perseguite e, in caso di interconnessioni eraffronti tra dati sensibili detenuti da distinti titolari del trattamento, labase normativa che le autorizza (art. 22, commi 9 e 11, del Codice). Le schedecosì integrate dovranno poi essere sottoposte al Garante per un nuovo parere,schede nelle quali dovrà altrimenti espungersi il riferimento alle operazionimedesime.

5. Conclusioni
La Scuola superioredella pubblica amministrazione locale è invitata a conformare lo schema inesame alle indicazioni sopra formulate tenendo presente che il trattamento deidati sensibili e giudiziari non può essere effettuato in difformità dalleindicazioni medesime e che l'individuazione dei tipi di dati e delle operazionieseguibili dovrà essere effettuata, differentemente da quanto risulta dalloschema in esame, necessariamente con un atto di effettiva natura regolamentareai sensi dell'art. 20, comma 2, del Codice, suscettibile di produrre effettigiuridici per gli interessati.

Eventuali, ulteriori trattamenti di datisensibili e/o giudiziari non considerati nello schema (che potrà esserecomunque integrato in futuro, previo parere conforme), o svolti nel frattempopossono essere effettuati lecitamente solo sulla base di un'adeguata basegiuridica.

TUTTO CIÒ PREMESSO ILGARANTE

ai sensi degli articoli 20, comma 2, e154, comma 1, lett. g) del Codice, esprime parere favorevole sullo schema diregolamento predisposto dalla Scuola superiore della pubblica amministrazionelocale, a condizione che siano rispettate le indicazioni di cui ai punti da 1 a5, riguardanti:

1.      la menzione nelle premesse delloschema di regolamento dell'acquisizione del presente parere; le modificheall'art. 2 relative all'indicazione delle disposizioni del Codice riguardantile finalità di rilevante interesse pubblico individuate nello schema; lemodifiche relative alla menzione dei trattamenti delle schede B e C, anche persimmetria con l'elenco citato al comma 4 dello stesso articolo, espungendoduplicazioni nell'elencazione di trattamenti descritti in altre schede allegateal medesimo schema;

2.      l'eliminazione dell'indicazionerelativa alle finalità di rilevante interesse pubblico di cui agli artt. 65 e66 del Codice (scheda A) e a quelle previste dall'art. 64 del Codice (schedaC);

3.      la verifica riguardante itrattamenti di dati menzionati nelle schede A e B dello schema;l'indispensabilità dell'utilizzo di dati personali relativi allo stato disalute per svolgere attività di studio e di ricerca (scheda B);

4.      la verifica relativa alleoperazioni di comunicazione all'Inps "per incarichi dei prestatorioccasionali non titolari di partita Iva" (scheda A); l'indispensabilità delle interconnessioni e dei raffrontiindicati nello schema con altri trattamenti o banche dati della Scuola, nonchécon l'Agenzia autonoma per la gestione dell'Albo dei segretari comunali eprovinciali;

5.      l'adozione di un atto dieffettiva natura regolamentare.

Roma, 7 febbraio 2008

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale
Buttarelli