IL GARANTE
PER LAPROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazione del prof.Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vicepresidente, delprof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. GiovanniButtarelli, segretario generale;

Visto il decreto legislativo 30 giugno2003, n. 196, recante il Codice in materia di protezione dei dati personali;

Visto, in particolare, l'art. 4, comma 1, lett.d), del citato Codice, il quale individua i dati sensibili;

Considerato che, ai sensi dell'art. 26, comma 1,del Codice i soggetti privati e gli enti pubblici economici possono trattare idati sensibili solo previa autorizzazione di questa Autorità e, ove necessario,con il consenso scritto degli interessati, nell'osservanza dei presupposti edei limiti stabiliti dal Codice, nonché dalla legge e dai regolamenti;

Visto altresì il   comma 4, lett. a),del citato art. 26, il quale stabilisce che i dati sensibili possono essereoggetto di trattamento anche senza consenso, previa autorizzazione del Garante,"quando il trattamento è effettuato da associazioni, enti od organismisenza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico,religioso o sindacale, ivi compresi partiti e movimenti politici, per ilperseguimento di scopi determinati e legittimi individuati dall'attocostitutivo, dallo statuto o dal contratto collettivo, relativamente ai datipersonali degli aderenti o dei soggetti che in relazione a tali finalità hannocontatti regolari con l'associazione, ente od organismo, sempre che i dati nonsiano comunicati all'esterno o diffusi e l'ente, associazione od organismodetermini idonee garanzie relativamente ai trattamenti effettuati, prevedendoespressamente le modalità di utilizzo dei dati con determinazione resa notaagli interessati all'atto dell'informativa ai sensi dell'articolo 13";

Visto il   comma 3, lettere a) e b),del predetto art. 26, il quale stabilisce che la disciplina di cui al relativocomma 1 non si applica al trattamento: a) dei dati relativi agli aderenti alleconfessioni religiose e ai soggetti che con riferimento a finalità di naturaesclusivamente religiosa hanno contatti regolari con le medesime confessioni,effettuato dai relativi organi, ovvero da enti civilmente riconosciuti, sempreche i dati non siano diffusi o comunicati fuori delle medesime confessioni; b)dei dati riguardanti l'adesione di associazioni od organizzazioni a caratteresindacale o di categoria ad altre associazioni, organizzazioni o confederazionia carattere sindacale o di categoria;

Rilevato che le confessioni di cui alla letteraa) devono determinare, ai sensi del medesimo   art. 26, comma 3,lett. a), idonee garanzie relativamente ai trattamenti effettuati, nel rispettodei principi indicati al riguardo con autorizzazione del Garante;

Visto l'art. 181, comma 6, del Codice secondocui le confessioni religiose che, prima dell'adozione del medesimo Codice,abbiano determinato e adottato nell'ambito del rispettivo ordinamento legaranzie di cui al predetto   art. 26, comma 3, lett. a), possonoproseguire l'attività di trattamento nel rispetto delle medesime;

Considerato che il trattamento dei dati inquestione può essere autorizzato dal Garante anche d'ufficio con provvedimentidi carattere generale, relativi a determinate categorie di titolari o ditrattamenti (art. 40, del Codice);

Considerato che le autorizzazioni di caratteregenerale sinora rilasciate sono risultate uno strumento idoneo per prescriveremisure uniformi a garanzia degli interessati, rendendo altresì superflua larichiesta di singoli provvedimenti di autorizzazione da parte di numerosititolari del trattamento;

Ritenuto opportuno, dopo l'entrata in vigore delCodice, rilasciare nuove autorizzazioni in sostituzione di quelle in scadenzail 30 giugno 2004, armonizzando le prescrizioni già impartite alla lucedell'esperienza maturata;

Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato, ai sensi dall'art. 41,comma 5, del Codice, e, in particolare, efficaci per il periodo di dodici mesi,in relazione alla fase di prima applicazione delle nuove disposizioni delCodice;

Considerata la necessità di garantire ilrispetto di alcuni principi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertàfondamentali, nonché per la dignità delle persone, e in particolare, per ildiritto alla protezione dei dati personali sancito all'art. 1 del Codice;

Considerato che un elevato numero di trattamentidi dati sensibili è effettuato da enti ed organizzazioni di tipo associativo eda fondazioni, per la realizzazione di scopi determinati e legittimiindividuati dall'atto costitutivo, dallo statuto o da un contratto collettivo;

Visto l'art. 167 del Codice;

Visto l'art. 11, comma 2, del Codice, il qualestabilisce che i dati trattati in violazione della disciplina rilevante inmateria di trattamento di dati personali non possono essere utilizzati;

Visti gli   articoli 31 eseguenti del Codice e il disciplinare tecnico di cui all'Allegato B almedesimo Codice recanti norme e regole sulle misure di sicurezza;

Visto l'art. 41 del Codice;

Visti gli atti d'ufficio;

Viste le osservazioni dell'Ufficio formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

Relatore il dott. Mauro Paissan;

autorizza

il trattamento dei dati sensibili di cui  art. 4, comma 1, lett. d), del Codice da parte di associazioni,fondazioni, comitati ed altri organismi di tipo associativo, secondo leprescrizioni di seguito indicate.

Prima di iniziare o proseguire il trattamento isistemi informativi e i programmi informatici sono configurati riducendo alminimo l'utilizzazione di dati personali e di dati identificativi, in modo daescluderne il trattamento quando le finalità perseguite nei singoli casipossono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalità che permettano di identificare l'interessato solo in caso dinecessità, in conformità all'art. 3 del Codice.

1) Ambito di applicazione

La presente autorizzazione è rilasciata:

a) alleassociazioni anche non riconosciute, ai partiti e i movimenti politici, alleassociazioni e alle organizzazioni sindacali, ai patronati e alle associazionidi categoria, alle casse di previdenza, alle organizzazioni assistenziali o divolontariato, nonché le federazioni e confederazioni nelle quali tali soggettisono riuniti in conformità, ove esistenti, allo statuto, all'atto costitutivo oad un contratto collettivo;

b) allefondazioni, ai comitati e ad ogni altro ente, consorzio od organismo senzascopo di lucro, dotati o meno di personalità giuridica, ivi comprese leorganizzazioni non lucrative di utilità sociale (Onlus);

c) allecooperative sociali e alle società di mutuo soccorso di cui, rispettivamente,alle leggi 8 novembre 1991, n. 381 e 15 aprile 1886, n. 3818.

L'autorizzazione è rilasciata altresì agliistituti scolastici anche di tipo non associativo, limitatamente al trattamentodei dati idonei a rivelare le convinzioni religiose e per le operazionistrettamente necessarie per l'applicazione dell'articolo 310 del decretolegislativo 16 aprile 1994, n. 297.

Resta fermo l'obbligo per le confessionireligiose di determinare, ai sensi dell'art. 26, comma 3, lett. a) delCodice, idonee garanzie relativamente ai trattamenti effettuati, nel rispettodei principi indicati con la presente autorizzazione.

Ai sensi dell'art. 181, comma 6, del Codice, leconfessioni religiose che, prima dell'adozione del medesimo Codice, abbianodeterminato e adottato nell'ambito del rispettivo ordinamento le garanzie dicui all'art. 26, comma 3, lett. a), del Codice possono proseguire l'attività ditrattamento effettuato dai relativi organi, ovvero da enti civilmentericonosciuti, nel rispetto delle medesime.

2) Finalità del trattamento

L'autorizzazione è rilasciata per ilperseguimento di scopi determinati e legittimi individuati dall'attocostitutivo, dallo statuto o dal contratto collettivo, ove esistenti, e inparticolare per il perseguimento di finalità culturali, religiose, politiche,sindacali, sportive o agonistiche di tipo non professionistico, di istruzioneanche con riguardo alla libertà di scelta dell'insegnamento religioso, diformazione, di ricerca scientifica, di patrocinio, di tutela dell'ambiente edelle cose d'interesse artistico e storico, di salvaguardia dei diritti civili,nonché di beneficenza, assistenza sociale o socio-sanitaria.

La presente autorizzazione è rilasciata,altresì, per far valere o difendere un diritto anche da parte di un terzo insede giudiziaria, nonché in sede amministrativa o nelle procedure di arbitratoe di conciliazione nei casi previsti dalla normativa comunitaria, dalle leggi,dai regolamenti o dai contratti collettivi. La presente autorizzazione èrilasciata inoltre per l'esercizio del diritto di accesso ai documentiamministrativi, nei limiti di quanto stabilito dalle leggi e dai regolamenti inmateria.

Per i fini predetti, il trattamento dei datisensibili può riguardare anche la tenuta di registri e scritture contabili, dielenchi, di indirizzari e di altri documenti necessari per la gestioneamministrativa dell'associazione, della fondazione, del comitato o del diversoorganismo, o per l'adempimento di obblighi fiscali, ovvero per la diffusione diriviste, bollettini e simili.

Qualora i soggetti di cui alle lettere a), b) ec) si avvalgano di persone giuridiche o di altri organismi con scopo di lucro odi liberi professionisti per perseguire le predette finalità, ovvero richiedanoad essi la fornitura di beni, prestazioni o servizi, la presente autorizzazioneè rilasciata anche ai medesimi organismi, persone giuridiche o liberiprofessionisti.

I soggetti di cui alle lettere a), b) e c)possono comunicare alle persone giuridiche e agli organismi con scopo di lucrotitolari di un autonomo trattamento, i soli dati sensibili strettamenteindispensabili per le attività di effettivo ausilio alle predette finalità, conparticolare riferimento alle generalità degli interessati e ad indirizzari,sulla base di un atto scritto che individui con precisione le informazionicomunicate, le modalità del successivo utilizzo, le particolari misure disicurezza, nonché, ove previsto, le idonee garanzie determinate. Ladichiarazione scritta di consenso degli interessati deve porre tale circostanzain particolare evidenza e deve recare la precisa menzione dei titolari del trattamentoe delle finalità da essi perseguite. Le persone giuridiche e gli organismi conscopo di lucro, oltre a quanto previsto nei punti 4) e 6) in tema dipertinenza, non eccedenza e indispensabilità dei dati, possono trattare i daticosì acquisiti solo per scopi di ausilio alle finalità predette, ovvero perscopi amministrativi e contabili.

3) Interessati ai quali i dati siriferiscono

Il trattamento può riguardare i dati sensibiliattinenti:

a) agliassociati, ai soci e, se strettamente indispensabile per il perseguimento dellefinalità di cui al punto 1), ai relativi familiari e conviventi;

b) agliaderenti, ai sostenitori o sottoscrittori, nonché ai soggetti che presentanorichiesta di ammissione o di adesione o che hanno contatti regolari conl'associazione, la fondazione o il diverso organismo;

c) aisoggetti che ricoprono cariche sociali o onorifiche;

d) aibeneficiari, agli assistiti e ai fruitori delle attività o dei servizi prestatidall'associazione o dal diverso organismo, limitatamente ai soggettiindividuabili in base allo statuto o all'atto costitutivo, ove esistenti;

e) aglistudenti iscritti o che hanno presentato domanda di iscrizione agli istituti dicui al punto 1) e, qualora si tratti di minori, ai loro genitori o a chine esercita la potestà;

f) ailavoratori dipendenti degli associati e dei soci, limitatamente ai dati idoneia rivelare l'adesione a sindacati, associazioni od organizzazioni a caratteresindacale e alle operazioni necessarie per adempiere a specifici obblighiderivanti da contratti collettivi anche aziendali.

4) Categorie di dati oggetto ditrattamento

L'autorizzazione non riguarda i dati idonei arivelare lo stato di salute e la vita sessuale, ai quali si riferiscel'autorizzazione generale n. 2/2004.

Il trattamento può avere per oggetto gli altridati sensibili di cui all'articolo 4, comma 1, lettera d) del Codice,idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose,filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati,associazioni od organizzazioni a carattere religioso, filosofico, politico osindacale.

Il trattamento può riguardare i dati e leoperazioni indispensabili per perseguire le finalità di cui al punto 1) o,comunque, per adempiere ad obblighi derivanti dalla legge, dalla normativacomunitaria, dai regolamenti o dai contratti collettivi, che non possano essereperseguite o adempiuti, caso per caso, mediante il trattamento di dati anonimio di dati personali di natura diversa.

A tal fine, anche mediante controlli periodici,deve essere verificata costantemente la stretta pertinenza, non eccedenza eindispensabilità dei dati rispetto ai predetti obblighi e finalità, inparticolare per quanto riguarda i dati che rivelano le opinioni e le intimeconvinzioni, anche con riferimento ai dati che l'interessato fornisce dipropria iniziativa. I dati che, anche a seguito delle verifiche, risultanoeccedenti o non pertinenti o non indispensabili non possono essere utilizzati,salvo per l'eventuale conservazione, a norma di legge, dell'atto o deldocumento che li contiene.

5) Modalità di trattamento

Fermi restando gli obblighi previsti dagliarticoli   11 e  14 del Codice, dagli articoli 31 e seguenti del Codice e dall'allegato B) al medesimo Codice, iltrattamento dei dati sensibili deve essere effettuato unicamente conoperazioni, nonché con logiche e mediante forme di organizzazione dei datistrettamente indispensabili in rapporto alle finalità, agli scopi e agliobblighi di cui al punto 2).

I dati sono raccolti, di regola, pressol'interessato.

Fermo restando quanto previsto ai punti 2) e 7)della presente autorizzazione, se è indispensabile, in conformità al medesimopunto 7) comunicare o diffondere dati all'esterno dell'associazione, dellafondazione, del comitato o del diverso organismo, il consenso scritto èacquisito previa idonea informativa resa agli interessati ai sensi dell'art.13 del Codice, la quale deve precisare le specifiche modalità di utilizzodei dati tenuto conto delle idonee garanzie adottate relativamente aitrattamenti effettuati.

6) Conservazione dei dati

Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lett. e) del Codice, i dati sensibili possonoessere conservati per un periodo non superiore a quello necessario perperseguire le finalità e gli scopi di cui al punto 2), ovvero per adempiereagli obblighi ivi menzionati.

Le verifiche di cui al punto 4) devonoriguardare anche la pertinenza, non eccedenza e indispensabilità dei datirispetto all'attività svolta dall'interessato o al rapporto che intercorre tral'interessato e i soggetti di cui al punto 1), tenendo presente il genere diprestazione, di beneficio o di servizio offerto all'interessato e la posizionedi quest'ultimo rispetto ai soggetti stessi.

7) Comunicazione e diffusione dei dati

I dati sensibili possono essere comunicati asoggetti pubblici o privati, e ove necessario diffusi, solo se strettamentepertinenti alle finalità, agli scopi e agli obblighi di cui al punto 2) etenendo presenti le altre prescrizioni sopraindicate.

I dati sensibili possono essere comunicati alleautorità competenti se necessario per finalità di prevenzione, accertamento orepressione dei reati, con l'osservanza delle norme che regolano la materia.

I dati relativi allo stato di salute e alla vitasessuale non possono essere diffusi.

8) Richieste di autorizzazione

I titolari dei trattamenti che rientranonell'ambito di applicazione della presente autorizzazione non sono tenuti apresentare una richiesta di autorizzazione a questa Autorità, qualora iltrattamento che si intende effettuare sia conforme alle prescrizioni suddette.

Le richieste di autorizzazione pervenute o cheperverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo.

Il Garante non prenderà in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformità alleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art.41 del Codice, il loro accoglimento sia giustificato da circostanze deltutto particolari o da situazioni eccezionali non considerate nella presenteautorizzazione.

9) Norme finali

Restano fermi gli obblighi previsti dallanormativa comunitaria, da norme di legge o di regolamento che stabilisconodivieti o limiti in materia di trattamento di dati personali.

Restano inoltre ferme le norme volte a prevenirediscriminazioni, e in particolare le disposizioni contenute nel decreto-legge26 aprile 1993, n. 122, convertito, con modificazioni, dalla legge 25 giugno1993, n. 205, in materia di discriminazione per motivi razziali, etnici,nazionali o religiosi e di delitti di genocidio.

10) Efficacia temporale e disciplinatransitoria

La presente autorizzazione ha efficacia adecorrere dal 1° luglio 2004 fino al 30 giugno 2005.

Qualora alla data della pubblicazione dellapresente autorizzazione il trattamento non sia già conforme alle prescrizioninon contenute nella precedente   autorizzazione n. 3/2002, iltitolare deve adeguarsi ad esse entro il 30 settembre 2004.

La presente autorizzazione sarà pubblicata nellaGazzetta Ufficiale della Repubblica italiana.

Roma, 30 giugno 2004

IL PRESIDENTE
Rodotà

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Buttarelli