IL GARANTE
PER LAPROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vicepresidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Visto il decreto legislativo 30 giugno2003, n. 196, recante il Codice in materia di protezione dei dati personali;

Visto, in particolare, l'art. 4, comma 1, lett.d), del citato Codice, il quale individua i dati sensibili;

Considerato che, ai sensi dell'art. 26, comma 1,del Codice, i soggetti privati e gli enti pubblici economici possono trattare idati sensibili solo previa autorizzazione di questa Autorità e, ove necessario,con il consenso scritto degli interessati, nell'osservanza dei presupposti edei limiti stabiliti dal Codice, nonché dalla legge e dai regolamenti;

Visto il comma 4, lett. d), del medesimo art.26, il quale stabilisce che i dati sensibili possono essere oggetto ditrattamento anche senza consenso, previa autorizzazione del Garante, quando iltrattamento medesimo è necessario per adempiere a specifici obblighi o compitiprevisti dalla legge, da un regolamento o dalla normativa comunitaria per lagestione del rapporto di lavoro, anche in materia di igiene e sicurezza dellavoro e della popolazione e di previdenza e assistenza, nei limiti previstidall'autorizzazione e ferme restando le disposizioni del codice di deontologiae di buona condotta di cui all'art. 111 del Codice;

Considerato che il trattamento dei dati inquestione può essere autorizzato dal Garante anche d'ufficio con provvedimentidi carattere generale, relativi a determinate categorie di titolari o ditrattamenti (art. 40 del Codice);

Considerato che le autorizzazioni di caratteregenerale sinora rilasciate sono risultate uno strumento idoneo per prescriveremisure uniformi a garanzia degli interessati, rendendo altresì superflua larichiesta di singoli provvedimenti di autorizzazione da parte di numerosititolari del trattamento;

Ritenuto opportuno, dopo l'entrata in vigore delCodice, rilasciare nuove autorizzazioni in sostituzione di quelle in scadenzail 30 giugno 2004, armonizzando le prescrizioni già impartite alla lucedell'esperienza maturata;

Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato ai sensi dell'art. 41,comma 5, del Codice, e, in particolare, efficaci per il periodo di dodici mesi,in relazione alla fase di prima applicazione delle nuove disposizioni delCodice e ai lavori avviati per l'adozione del codice di deontologia e buonacondotta di cui all'art. 111 del Codice;

Considerata la necessità di garantire ilrispetto di alcuni principi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertàfondamentali, nonché per la dignità delle persone, e, in particolare, per ildiritto alla protezione dei dati personali sancito all'art. 1 del Codice;

Considerato che un elevato numero di trattamentidi dati sensibili è effettuato nell'ambito dei rapporti di lavoro;

Visto l'art. 167 del Codice;

Visto l'art. 11, comma 2, del Codice, il qualestabilisce che i dati trattati in violazione della disciplina rilevante inmateria di trattamento di dati personali non possono essere utilizzati;

Visti gli articoli 31 e seguenti del Codicee il disciplinare tecnico di cui all'Allegato B al medesimo Codice recantinorme e regole sulle misure di sicurezza;

Visto l'art. 41 del Codice;

Visti gli atti d'ufficio;

Viste le osservazioni dell'Ufficio formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

Relatore il prof. Stefano Rodotà;

autorizza

il trattamento dei dati sensibili di cuiall'art. 4, comma 1, lett. d), del Codice, finalizzato alla gestione deirapporti di lavoro, secondo le prescrizioni di seguito indicate.

Prima di iniziare o proseguire il trattamento isistemi informativi e i programmi informatici sono configurati riducendo alminimo l'utilizzazione di dati personali e di dati identificativi, in modo daescluderne il trattamento quando le finalità perseguite nei singoli casipossono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalità che permettano di identificare l'interessato solo in caso dinecessità, in conformità all'art. 3 del Codice.

1) Ambito di applicazione

La presente autorizzazione è rilasciata:

a) alle persone fisiche e giuridiche, alleimprese, agli enti, alle associazioni e agli organismi che sono parte di unrapporto di lavoro o che utilizzano prestazioni lavorative anche atipiche,parziali o temporanee, o che comunque conferiscono un incarico professionalealle figure indicate al successivo punto 2, lett. b) e c);

b) ad organismi paritetici o che gestisconoosservatori in materia di lavoro, previsti dalla normativa comunitaria, dalleleggi, dai regolamenti o dai contratti collettivi anche aziendali;

l'autorizzazione riguarda anche l'attivitàsvolta:

c) dal medico competente in materia di igiene e disicurezza del lavoro, in qualità di libero professionista o di dipendente deisoggetti di cui alla lettera a) o di strutture convenzionate;

d) da associazioni, organizzazioni, federazioni oconfederazioni rappresentative di categorie di datori di lavoro, al solo finedi perseguire le finalità di cui al punto 3), lett. h).

2) Interessati ai quali i dati siriferiscono

Il trattamento può riguardare i dati sensibiliattinenti:

a) a lavoratori dipendenti, anche se prestatori dilavoro temporaneo o in rapporto di tirocinio, apprendistato e formazione elavoro, ovvero ad associati anche in compartecipazione e, se necessario in baseai punti 3) e 4), ai relativi familiari e conviventi;

b) a consulenti e a liberi professionisti, adagenti, rappresentanti e mandatari;

c) a soggetti che effettuano prestazionicoordinate e continuative o ad altri lavoratori autonomi in rapporto dicollaborazione con i soggetti di cui al punto 1);

d) a candidati all'instaurazione dei rapporti dilavoro di cui alle lettere precedenti;

e) a persone fisiche che ricoprono cariche socialio altri incarichi nelle persone giuridiche, negli enti, nelle associazioni enegli organismi di cui al punto 1);

f) a terzi danneggiati nell'eserciziodell'attività lavorativa o professionale dai soggetti di cui alle precedentilettere.

3) Finalità del trattamento

Il trattamento dei dati sensibili deve essereindispensabile:

a) per adempiere o per esigere l'adempimento dispecifici obblighi o per eseguire specifici compiti previsti dalla normativacomunitaria, da leggi, da regolamenti o da contratti collettivi ancheaziendali, in particolare ai fini dell'instaurazione, gestione ed estinzionedel rapporto di lavoro, nonché dell'applicazione della normativa in materia diprevidenza ed assistenza anche integrativa, o in materia di igiene e sicurezzadel lavoro o della popolazione, nonché in materia fiscale, sindacale, di tuteladella salute, dell'ordine e della sicurezza pubblica;

b) anche fuori dei casi di cui alla lettera a), inconformità alla legge e per scopi determinati e legittimi, ai fini della tenutadella contabilità o della corresponsione di stipendi, assegni, premi, altriemolumenti, liberalità o benefici accessori;

c) per perseguire finalità di salvaguardia dellavita o dell'incolumità fisica dell'interessato o di un terzo;

d) per far valere o difendere un diritto anche daparte di un terzo in sede giudiziaria, nonché in sede amministrativa o nelleprocedure di arbitrato e di conciliazione nei casi previsti dalle leggi, dallanormativa comunitaria, dai regolamenti o dai contratti collettivi, sempre che idati siano trattati esclusivamente per tali finalità e per il periodostrettamente necessario al loro perseguimento. Qualora i dati siano idonei arivelare lo stato di salute e la vita sessuale, il diritto da far valere odifendere deve essere di rango pari a quello dell'interessato, ovveroconsistente in un diritto della personalità o in un altro diritto o libertàfondamentale e inviolabile;

e) per esercitare il diritto di accesso aidocumenti amministrativi, nel rispetto di quanto stabilito dalle leggi e dairegolamenti in materia;

f) per adempiere ad obblighi derivanti dacontratti di assicurazione finalizzati alla copertura dei rischi connessi allaresponsabilità del datore di lavoro in materia di igiene e di sicurezza dellavoro e di malattie professionali o per i danni cagionati a terzinell'esercizio dell'attività lavorativa o professionale;

g) per garantire le pari opportunità;

h) per perseguire scopi determinati e legittimiindividuati dagli statuti di associazioni, organizzazioni, federazioni oconfederazioni rappresentative di categorie di datori di lavoro o dai contratticollettivi, in materia di assistenza sindacale ai datori di lavoro.

4) Categorie di dati

Il trattamento può avere per oggetto i datistrettamente pertinenti ai sopra indicati obblighi, compiti o finalità che nonpossano essere adempiuti o realizzati, caso per caso, mediante il trattamentodi dati anonimi o di dati personali di natura diversa, e in particolare:

a) nell'ambito dei dati idonei a rivelare leconvinzioni religiose, filosofiche o di altro genere, ovvero l'adesione adassociazioni od organizzazioni a carattere religioso o filosofico, i daticoncernenti la fruizione di permessi e festività religiose o di servizi dimensa, nonché la manifestazione, nei casi previsti dalla legge, dell'obiezionedi coscienza;

b) nell'ambito dei dati idonei a rivelare leopinioni politiche, l'adesione a partiti, sindacati, associazioni odorganizzazioni a carattere politico o sindacale, i dati concernenti l'eserciziodi funzioni pubbliche e di incarichi politici, di attività o di incarichisindacali (sempre che il trattamento sia effettuato ai fini della fruizione dipermessi o di periodi di aspettativa riconosciuti dalla legge o, eventualmente,dai contratti collettivi anche aziendali), ovvero l'organizzazione di pubblicheiniziative, nonché i dati inerenti alle trattenute per il versamento dellequote di servizio sindacale o delle quote di iscrizione ad associazioni odorganizzazioni politiche o sindacali;

c) nell'ambito dei dati idonei a rivelare lo statodi salute, i dati raccolti e ulteriormente trattati in riferimento ainvalidità, infermità, gravidanza, puerperio o allattamento, ad infortuni, adesposizioni a fattori di rischio, all'idoneità psico-fisica a svolgeredeterminate mansioni, all'appartenenza a determinate categorie protette, nonchéi dati contenuti nella certificazione sanitaria attestante lo stato di malattia,anche professionale dell'interessato, o comunque relativi anche all'indicazionedella malattia come specifica causa di assenza del lavoratore.

5) Modalità di trattamento

Fermi restando gli obblighi previsti dagliarticoli 11 e 14 del Codice, nonché dagli articoli 31 e seguenti delCodice e dall'Allegato B) al medesimo Codice, il trattamento dei datisensibili deve essere effettuato unicamente con operazioni, nonché con logichee mediante forme di organizzazione dei dati strettamente indispensabili in rapportoai sopra indicati obblighi, compiti o finalità.

I dati sono raccolti, di regola, pressol'interessato.

La comunicazione di dati all'interessato deveavvenire di regola direttamente a quest'ultimo o a un suo delegato (fermorestando quanto previsto dall'art. 84, comma 1, del Codice), in plico chiuso ocon altro mezzo idoneo a prevenire la conoscenza da parte di soggetti nonautorizzati, anche attraverso la previsione di distanze di cortesia.

Restano inoltre fermi gli obblighi di informarel'interessato e, ove necessario, di acquisirne il consenso scritto, inconformità a quanto previsto dagli articoli 13, 23 e 26 del Codice.

6) Conservazione dei dati

Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lett. e), del Codice, i dati sensibili possono essereconservati per un periodo non superiore a quello necessario per adempiere agliobblighi o ai compiti di cui al punto 3), ovvero per perseguire le finalità ivimenzionate. A tal fine, anche mediante controlli periodici, deve essere verificatacostantemente la stretta pertinenza, non eccedenza e indispensabilità dei datirispetto al rapporto, alla prestazione o all'incarico in corso, da instaurare ocessati, anche con riferimento ai dati che l'interessato fornisce di propriainiziativa. I dati che, anche a seguito delle verifiche, risultano eccedenti onon pertinenti o non indispensabili non possono essere utilizzati, salvo cheper l'eventuale conservazione, a norma di legge, dell'atto o del documento cheli contiene. Specifica attenzione è prestata per l'indispensabilità dei datiriferiti a soggetti diversi da quelli cui si riferiscono direttamente leprestazioni e gli adempimenti.

7) Comunicazione e diffusione dei dati

I dati sensibili possono essere comunicati e,ove necessario diffusi, nei limiti strettamente pertinenti agli obblighi, aicompiti o alle finalità di cui al punto 3), a soggetti pubblici o privati, ivicompresi organismi sanitari, casse e fondi di previdenza ed assistenzasanitaria integrativa anche aziendale, istituti di patronato e di assistenzasociale, centri di assistenza fiscale, agenzie per il lavoro, associazioni edorganizzazioni sindacali di datori di lavoro e di prestatori di lavoro, liberiprofessionisti, società esterne titolari di un autonomo trattamento di dati efamiliari dell'interessato.

Ai sensi dell'art. 26, comma 5, del Codice, idati idonei a rivelare lo stato di salute non possono essere diffusi.

8) Richieste di autorizzazione

I titolari dei trattamenti che rientranonell'ambito di applicazione della presente autorizzazione non sono tenuti apresentare una richiesta di autorizzazione a questa Autorità, qualora iltrattamento che si intende effettuare sia conforme alle prescrizioni suddette.

Le richieste di autorizzazione pervenute o cheperverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo.

Il Garante non prenderà in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformità dalleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art.41 del Codice, il loro accoglimento sia giustificato da circostanze deltutto particolari o da situazioni eccezionali non considerate nella presenteautorizzazione.

9) Norme finali

Restano fermi gli obblighi previsti da norme dilegge o di regolamento, ovvero dalla normativa comunitaria, che stabilisconodivieti o limiti in materia di trattamento di dati personali e, in particolare,dalle disposizioni contenute:

a) nell'art. 8 della legge 20 maggio 1970, n. 300,che vieta al datore di lavoro ai fini dell'assunzione e nello svolgimento delrapporto di lavoro, di effettuare indagini, anche a mezzo di terzi, sulleopinioni politiche, religiose o sindacali del lavoratore, nonché su fatti nonrilevanti ai fini della valutazione dell'attitudine professionale dellavoratore;

b) nell'art. 6 della legge 5 giugno 1990, n. 135,che vieta ai datori di lavoro lo svolgimento di indagini volte ad accertare,nei dipendenti o in persone prese in considerazione per l'instaurazione di unrapporto di lavoro, l'esistenza di uno stato di sieropositività;

c) nelle norme in materia di pari opportunità ovolte a prevenire discriminazioni;

d) fermo restando quanto disposto dall'art. 8della legge 20 maggio 1970, n. 300, nell'art. 10 del d.lg. 10 settembre 2003,n. 276, che vieta alle agenzie per il lavoro e agli altri soggetti privatiautorizzati o accreditati di effettuare qualsivoglia indagine o comunquetrattamento di dati ovvero di preselezione di lavoratori, anche con il loroconsenso, in base alle convinzioni personali, alla affiliazione sindacale opolitica, al credo religioso, al sesso, all'orientamento sessuale, allo statomatrimoniale o di famiglia o di gravidanza, alla età, all'handicap, alla razza,all'origine etnica, al colore, alla ascendenza, all'origine nazionale, algruppo linguistico, allo stato di salute e ad eventuali controversie con iprecedenti datori di lavoro, nonché di trattare dati personali dei lavoratoriche non siano strettamente attinenti alle loro attitudini professionali e alloro inserimento lavorativo.

10) Efficacia temporale e disciplinatransitoria.

La presente autorizzazione ha efficacia adecorrere dal 1° luglio 2004 fino al 30 giugno 2005.

Qualora alla data della pubblicazione dellapresente autorizzazione il trattamento non sia già conforme alle prescrizioninon contenute nella precedente autorizzazione n. 1/2002, il titolare deveadeguarsi ad esse entro il 30 settembre 2004.

La presente autorizzazione sarà pubblicata nellaGazzetta Ufficiale della Repubblica italiana.

Roma, 30 giugno 2004

IL PRESIDENTE
Rodotà

IL RELATORE
Rodotà

IL SEGRETARIO GENERALE
Buttarelli