GARANTE PER LAPROTEZIONE DEI DATI PERSONALI PROVVEDIMENTO 21dicembre 2005 IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI In data odierna, con la partecipazione del prof.Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti, e del dott. Giovanni Buttarelli, segretario generale; Visto il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali; Visto, in particolare, l'art. 4, comma 1, lett.d), del citato Codice, il quale individua i dati sensibili; Considerato che, ai sensi dell'art. 26, comma 1,del Codice, i soggetti privati e gli enti pubblici economici possono trattare idati sensibili solo previa autorizzazione di questa Autorità e, ove necessario,con il consenso scritto degli interessati, nell'osservanza dei presupposti edei limiti stabiliti dal Codice, nonchŽ dalla legge e dai regolamenti; vVisto il comma 4, lett. d), del medesimo art.26, il quale stabilisce che i dati sensibili possono essere oggetto ditrattamento anche senza consenso, previa autorizzazione del Garante, quando iltrattamento medesimo è necessario per adempiere a specifici obblighi o compitiprevisti dalla legge, da un regolamento o dalla normativa comunitaria per lagestione del rapporto di lavoro, anche in materia di igiene e sicurezza dellavoro e della popolazione e di previdenza e assistenza, nei limiti previstidall'autorizzazione e ferme restando le disposizioni del codice di deontologiae di buona condotta di cui all'art. 111 del Codice;Considerato che il trattamento dei dati inquestione può essere autorizzato dal Garante anche d'ufficio con provvedimentidi carattere generale, relativi a determinate categorie di titolari o ditrattamenti (art. 40 del Codice); Considerato che le autorizzazioni di caratteregenerale sinora rilasciate sono risultate uno strumento idoneo per prescriveremisure uniformi a garanzia degli interessati, rendendo altresì superflua larichiesta di singoli provvedimenti di autorizzazione da parte di numerosititolari del trattamento; Ritenuto opportuno rilasciare nuoveautorizzazioni in sostituzione di quelle in scadenza il 31 dicembre 2005,armonizzando le prescrizioni già impartite alla luce dell'esperienza maturata; Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato, ai sensidall'art. 41, comma 5, del Codice e, in particolare, efficaci per ilperiodo di diciotto mesi; Considerata la necessità di garantire ilrispetto di alcuni principi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertàfondamentali, nonchŽ per la dignità delle persone, e, in particolare, per ildiritto alla protezione dei dati personali sancito all'art. 1 del Codice; Considerato che un elevato numero di trattamentidi dati sensibili è effettuato nell'ambito dei rapporti di lavoro; Visto l'art. 167 del Codice; Visto l'art. 11, comma 2, del Codice, il qualestabilisce che i dati trattati in violazione della disciplina rilevante inmateria di trattamento di dati personali non possono essere utilizzati; Visti gli articoli 31 e seguenti del Codice e ildisciplinare tecnico di cui all'Allegato B) al medesimo Codice recanti norme eregole sulle misure di sicurezza; Visto l'art. 41 del Codice; Visti gli atti d'ufficio; Viste le osservazioni dell'Ufficio formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garanten. 1/2000; Relatore il prof. Francesco Pizzetti; Autorizza il trattamento dei dati sensibili di cuiall'art. 4, comma 1, lett. d), del Codice, finalizzato alla gestione deirapporti di lavoro, secondo le prescrizioni di seguito indicate. Prima di iniziare o proseguire il trattamento isistemi informativi e i programmi informatici sono configurati riducendo alminimo l'utilizzazione di dati personali e di dati identificativi, in modo daescluderne il trattamento quando le finalità perseguite nei singoli casipossono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalità che permettano di identificare l'interessato solo in caso dinecessità, in conformità all'art. 3 del Codice.
1) Ambito di applicazione La presente autorizzazione è rilasciata: a) allepersone fisiche e giuridiche, alle imprese, agli enti, alle associazioni e agliorganismi che sono parte di un rapporto di lavoro o che utilizzano prestazionilavorative anche atipiche, parziali o temporanee, o che comunque conferisconoun incarico professionale alle figure indicate al successivo punto 2, lettereb) e c); b) adorganismi paritetici o che gestiscono osservatori in materia di lavoro,previsti dalla normativa comunitaria, dalle leggi, dai regolamenti o daicontratti collettivi anche aziendali; l'autorizzazioneriguarda anche l'attività svolta: c) dalmedico competente in materia di igiene e di sicurezza del lavoro, in qualità dilibero professionista o di dipendente dei soggetti di cui alla lettera a) o distrutture convenzionate; d) daassociazioni, organizzazioni, federazioni o confederazioni rappresentative dicategorie di datori di lavoro, al solo fine di perseguire le finalità di cui alpunto 3), lettera h).
2) Interessati ai quali i dati si riferiscono Il trattamento può riguardare i dati sensibiliattinenti: a) alavoratori subordinati, anche se parti di un contratto di apprendistato, o diformazione e lavoro, o di inserimento, o di lavoro ripartito, o di lavorointermittente o a chiamata, ovvero prestatori di lavoro nellÕambito di uncontratto di somministrazione, o in rapporto di tirocinio, ovvero ad associatianche in compartecipazione e, se necessario in base ai punti 3) e 4), airelativi familiari e conviventi; b) aconsulenti e a liberi professionisti, ad agenti, rappresentanti e mandatari; c) asoggetti che effettuano prestazioni coordinate e continuative, anche nellamodalità di lavoro a progetto, o ad altri lavoratori autonomi in rapporto dicollaborazione, anche sotto forma di prestazioni di lavoro accessorio, con isoggetti di cui al punto 1); d) acandidati all'instaurazione dei rapporti di lavoro di cui alle lettereprecedenti; e) apersone fisiche che ricoprono cariche sociali o altri incarichi nelle personegiuridiche, negli enti, nelle associazioni e negli organismi di cui al punto1); f) aterzi danneggiati nell'esercizio dell'attività lavorativa o professionale daisoggetti di cui alle precedenti lettere.
3) Finalità del trattamento Il trattamento dei dati sensibili deve essereindispensabile: a) peradempiere o per esigere l'adempimento di specifici obblighi o per eseguirespecifici compiti previsti dalla normativa comunitaria, da leggi, daregolamenti o da contratti collettivi anche aziendali, in particolare ai finidell'instaurazione, gestione ed estinzione del rapporto di lavoro, nonchŽdell'applicazione della normativa in materia di previdenza ed assistenza ancheintegrativa, o in materia di igiene e sicurezza del lavoro o della popolazione,nonchŽ in materia fiscale, sindacale, di tutela della salute, dell'ordine edella sicurezza pubblica; b) anchefuori dei casi di cui alla lettera a), in conformità alla legge e per scopideterminati e legittimi, ai fini della tenuta della contabilità o dellacorresponsione di stipendi, assegni, premi, altri emolumenti, liberalità obenefici accessori; c) perperseguire finalità di salvaguardia della vita o dell'incolumità fisicadell'interessato o di un terzo; d) perfar valere o difendere un diritto anche da parte di un terzo in sedegiudiziaria, nonchŽ in sede amministrativa o nelle procedure di arbitrato e diconciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dairegolamenti o dai contratti collettivi, sempre che i dati siano trattatiesclusivamente per tali finalità e per il periodo strettamente necessario alloro perseguimento. Qualora i dati siano idonei a rivelare lo stato di salute ela vita sessuale, il diritto da far valere o difendere deve essere di rangopari a quello dell'interessato, ovvero consistente in un diritto dellapersonalità o in un altro diritto o libertà fondamentale e inviolabile; e) peresercitare il diritto di accesso ai documenti amministrativi, nel rispetto diquanto stabilito dalle leggi e dai regolamenti in materia; f) peradempiere ad obblighi derivanti da contratti di assicurazione finalizzati allacopertura dei rischi connessi alla responsabilità del datore di lavoro inmateria di igiene e di sicurezza del lavoro e di malattie professionali o per idanni cagionati a terzi nell'esercizio dell'attività lavorativa oprofessionale; g) pergarantire le pari opportunità; h) perperseguire scopi determinati e legittimi individuati dagli statuti diassociazioni, organizzazioni, federazioni o confederazioni rappresentative dicategorie di datori di lavoro o dai contratti collettivi, in materia diassistenza sindacale ai datori di lavoro.
4) Categorie di dati Il trattamento può avere per oggetto i datistrettamente pertinenti ai sopra indicati obblighi, compiti o finalità che nonpossano essere adempiuti o realizzati, caso per caso, mediante il trattamentodi dati anonimi o di dati personali di natura diversa, e in particolare: a) nell'ambitodei dati idonei a rivelare le convinzioni religiose, filosofiche o di altrogenere, ovvero l'adesione ad associazioni od organizzazioni a caratterereligioso o filosofico, i dati concernenti la fruizione di permessi e festivitàreligiose o di servizi di mensa, nonchŽ la manifestazione, nei casi previstidalla legge, dell'obiezione di coscienza; b) nell'ambitodei dati idonei a rivelare le opinioni politiche, l'adesione a partiti,sindacati, associazioni od organizzazioni a carattere politico o sindacale, idati concernenti l'esercizio di funzioni pubbliche e di incarichi politici, diattività o di incarichi sindacali (sempre che il trattamento sia effettuato aifini della fruizione di permessi o di periodi di aspettativa riconosciuti dallalegge o, eventualmente, dai contratti collettivi anche aziendali), ovverol'organizzazione di pubbliche iniziative, nonchŽ i dati inerenti alletrattenute per il versamento delle quote di servizio sindacale o delle quote diiscrizione ad associazioni od organizzazioni politiche o sindacali; c) nell'ambitodei dati idonei a rivelare lo stato di salute, i dati raccolti e ulteriormentetrattati in riferimento a invalidità, infermità, gravidanza, puerperio oallattamento, ad infortuni, ad esposizioni a fattori di rischio, all'idoneitàpsico-fisica a svolgere determinate mansioni, all'appartenenza a determinatecategorie protette, nonchŽ i dati contenuti nella certificazione sanitariaattestante lo stato di malattia, anche professionale dell'interessato, ocomunque relativi anche all'indicazione della malattia come specifica causa diassenza del lavoratore.
5) Modalità di trattamento Fermi restando gli obblighi previsti dagliarticoli 11 e 14 del Codice, nonchŽ dagli articoli 31 e seguenti del Codice edall'Allegato B) al medesimo Codice, il trattamento dei dati sensibili deveessere effettuato unicamente con operazioni, nonchŽ con logiche e medianteforme di organizzazione dei dati strettamente indispensabili in rapporto aisopra indicati obblighi, compiti o finalità. I dati sono raccolti, di regola, pressol'interessato. La comunicazione di dati all'interessato deveavvenire di regola direttamente a quest'ultimo o a un suo delegato (fermorestando quanto previsto dall'art. 84, comma 1, del Codice), in plico chiuso ocon altro mezzo idoneo a prevenire la conoscenza da parte di soggetti nonautorizzati, anche attraverso la previsione di distanze di cortesia. Restano inoltre fermi gli obblighi di informarel'interessato e, ove necessario, di acquisirne il consenso scritto, inconformità a quanto previsto dagli articoli 13, 23 e 26 del Codice.
6) Conservazione dei dati Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lettera e), del Codice, i dati sensibili possono essereconservati per un periodo non superiore a quello necessario per adempiere agliobblighi o ai compiti di cui al punto 3), ovvero per perseguire le finalità ivimenzionate. A tal fine, anche mediante controlli periodici, deve essereverificata costantemente la stretta pertinenza, non eccedenza eindispensabilità dei dati rispetto al rapporto, alla prestazione o all'incaricoin corso, da instaurare o cessati, anche con riferimento ai dati chel'interessato fornisce di propria iniziativa. I dati che, anche a seguito delleverifiche, risultano eccedenti o non pertinenti o non indispensabili non possonoessere utilizzati, salvo che per l'eventuale conservazione, a norma di legge,dell'atto o del documento che li contiene. Specifica attenzione è prestata perl'indispensabilità dei dati riferiti a soggetti diversi da quelli cui siriferiscono direttamente le prestazioni e gli adempimenti.
7) Comunicazione e diffusione dei dati I dati sensibili possono essere comunicati e,ove necessario, diffusi, nei limiti strettamente pertinenti agli obblighi, aicompiti o alle finalità di cui al punto 3), a soggetti pubblici o privati, ivicompresi organismi sanitari, casse e fondi di previdenza ed assistenzasanitaria integrativa anche aziendale, istituti di patronato e di assistenzasociale, centri di assistenza fiscale, agenzie per il lavoro, associazioni ed organizzazionisindacali di datori di lavoro e di prestatori di lavoro, liberi professionisti,società esterne titolari di un autonomo trattamento di dati e familiaridell'interessato. Ai sensi dell'art. 26, comma 5, del Codice, idati idonei a rivelare lo stato di salute non possono essere diffusi.
8) Richieste di autorizzazione I titolari dei trattamenti che rientranonell'ambito di applicazione della presente autorizzazione non sono tenuti apresentare una richiesta di autorizzazione a questa Autorità, qualora iltrattamento che si intende effettuare sia conforme alle prescrizioni suddette. Le richieste di autorizzazione pervenute o cheperverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo. Il Garante non prenderà in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformità dalleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art. 41 delCodice, il loro accoglimento sia giustificato da circostanze del tuttoparticolari o da situazioni eccezionali non considerate nella presenteautorizzazione.
9) Norme finali Restano fermi gli obblighi previsti da norme dilegge o di regolamento, ovvero dalla normativa comunitaria, che stabilisconodivieti o limiti in materia di trattamento di dati personali e, in particolare,dalle disposizioni contenute: a) nell'art.8 della legge 20 maggio 1970, n. 300, che vieta al datore di lavoro ai finidell'assunzione e nello svolgimento del rapporto di lavoro, di effettuareindagini, anche a mezzo di terzi, sulle opinioni politiche, religiose osindacali del lavoratore, nonchŽ su fatti non rilevanti ai fini dellavalutazione dell'attitudine professionale del lavoratore; b) nell'art.6 della legge 5 giugno 1990, n. 135, che vieta ai datori di lavoro losvolgimento di indagini volte ad accertare, nei dipendenti o in persone presein considerazione per l'instaurazione di un rapporto di lavoro, l'esistenza diuno stato di sieropositività; c) nellenorme in materia di pari opportunità o volte a prevenire discriminazioni; d) fermorestando quanto disposto dall'art. 8 della legge 20 maggio 1970, n. 300,nell'art. 10 del decreto legislativo 10 settembre 2003, n. 276, che vieta alleagenzie per il lavoro e agli altri soggetti privati autorizzati o accreditatidi effettuare qualsivoglia indagine o comunque trattamento di dati ovvero dipreselezione di lavoratori, anche con il loro consenso, in base alleconvinzioni personali, alla affiliazione sindacale o politica, al credoreligioso, al sesso, all'orientamento sessuale, allo stato matrimoniale o difamiglia o di gravidanza, alla età, all'handicap, alla razza, all'origineetnica, al colore, alla ascendenza, all'origine nazionale, al gruppo linguistico,allo stato di salute e ad eventuali controversie con i precedenti datori dilavoro, nonchŽ di trattare dati personali dei lavoratori che non sianostrettamente attinenti alle loro attitudini professionali e al loro inserimentolavorativo.
10) Efficacia temporale e disciplinatransitoria La presente autorizzazione ha efficacia adecorrere dal 1¡ gennaio 2006 fino al 30 giugno 2007, salve eventuali modificheche il Garante ritenga di dover apportare in conseguenza di eventuali novitànormative rilevanti in materia. La presente autorizzazione sarà pubblicata nellaGazzetta Ufficiale della Repubblica italiana. Roma, 21 dicembre 2005 IL PRESIDENTE IL RELATORE IL SEGRETARIO GENERALE |