| Garante per la protezione dei dati personali Autorizzazione n.3/2008 al trattamento dei dati sensibili da parte degli organismi di tipoassociativo e delle fondazioni Registro delledeliberazioni n. 34 del 19 giugno 2008
IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI In data odierna, con la partecipazionedel prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti, e del dott. Giovanni Buttarelli, segretario generale; Visto il decreto legislativo 30 giugno2003, n. 196, recante il Codice in materia di protezione dei dati personali; Visto, in particolare, l'art. 4, comma 1,lett. d), del citato Codice, il quale individua i dati sensibili; Considerato che, ai sensi dell'art. 26,comma 1, del Codice, i soggetti privati e gli enti pubblici economici possonotrattare i dati sensibili solo previa autorizzazione di questa Autorit e, ovenecessario, con il consenso scritto degli interessati, nell'osservanza deipresupposti e dei limiti stabiliti dal Codice, nonch dalla legge e dairegolamenti; Visto altres il comma 4, lett. a), delcitato art. 26, il quale stabilisce che i dati sensibili possono essere oggettodi trattamento anche senza consenso, previa autorizzazione del Garante, quandoil trattamento effettuato da associazioni, enti ed organismi senza scopo dilucro, anche non riconosciuti, a carattere politico, filosofico, religioso osindacale, ivi compresi partiti e movimenti politici, per il perseguimento discopi determinati e legittimi individuati dall'atto costitutivo, dallo statutoo dal contratto collettivo, relativamente ai dati personali degli aderenti odei soggetti che in relazione a tali finalit hanno contatti regolari conl'associazione, ente od organismo, sempre che i dati non siano comunicatiall'esterno o diffusi e l'ente, associazione od organismo determini idoneegaranzie relativamente ai trattamenti effettuati, prevedendo espressamente lemodalit di utilizzo dei dati con determinazione resa nota agli interessatiall'atto dell'informativa ai sensi dell'articolo 13; Visto il comma 3, lettere a) e b), delpredetto art. 26, il quale stabilisce che la disciplina di cui al relativocomma 1 non si applica al trattamento: a) dei dati relativi agli aderenti alleconfessioni religiose e ai soggetti che con riferimento a finalit di naturaesclusivamente religiosa hanno contatti regolari con le medesime confessioni,effettuato dai relativi organi, ovvero da enti civilmente riconosciuti, sempreche i dati non siano diffusi o comunicati fuori delle medesime confessioni; b)dei dati riguardanti l'adesione di associazioni od organizzazioni a caratteresindacale o di categoria ad altre associazioni, organizzazioni o confederazionia carattere sindacale o di categoria; Rilevato che le confessioni di cui allalettera a) devono determinare, ai sensi del medesimo art. 26, comma 3, lett.a), idonee garanzie relativamente ai trattamenti effettuati, nel rispetto deiprincpi indicati al riguardo con autorizzazione del Garante; Visto l'art. 181, comma 6, del Codicesecondo cui le confessioni religiose che, prima dell'adozione del medesimoCodice, abbiano determinato e adottato nell'ambito del rispettivo ordinamentole garanzie di cui al predetto art. 26, comma 3, lett. a), possono proseguirel'attivit di trattamento nel rispetto delle medesime; Considerato che il trattamento dei datiin questione pu essere autorizzato dal Garante anche d'ufficio conprovvedimenti di carattere generale, relativi a determinate categorie dititolari o di trattamenti (art. 40 del Codice); Considerato che le autorizzazioni dicarattere generale sinora rilasciate sono risultate uno strumento idoneo perprescrivere misure uniformi a garanzia degli interessati, rendendo altressuperflua la richiesta di singoli provvedimenti di autorizzazione da parte dinumerosi titolari del trattamento; Ritenuto opportuno rilasciare nuoveautorizzazioni in sostituzione di quelle in scadenza il 30 giugno 2008,armonizzando le prescrizioni gi impartite alla luce dell'esperienza maturata; Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato, ai sensi dell'art. 41,comma 5, del Codice e, in particolare, efficaci per il periodo di diciottomesi; Considerata la necessit di garantire ilrispetto di alcuni princpi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertfondamentali, nonch per la dignit delle persone, e in particolare, per ildiritto alla protezione dei dati personali sancito dall'art. 1 del Codice; Considerato che un elevato numero ditrattamenti di dati sensibili effettuato da enti ed organizzazioni di tipoassociativo e da fondazioni, per la realizzazione di scopi determinati elegittimi individuati dall'atto costitutivo, dallo statuto o da un contrattocollettivo; Visto l'art. 167 del Codice; Visto l'art. 11, comma 2, del Codice, ilquale stabilisce che i dati trattati in violazione della disciplina rilevantein materia di trattamento di dati personali non possono essere utilizzati; Visti gli articoli 31 e seguenti delCodice e il disciplinare tecnico di cui all'Allegato B) al medesimo Codice,recanti norme e regole sulle misure di sicurezza; Visto l'art. 41 del Codice; Visti gli atti d'ufficio; Viste le osservazioni dell'Ufficioformulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante n. 1/2000; Relatore il dott. Mauro Paissan; Autorizza il trattamento dei dati sensibili di cuiall'art. 4, comma 1, lett. d), del Codice da parte di associazioni, fondazioni,comitati ed altri organismi di tipo associativo, secondo le prescrizioni diseguito indicate. Prima di iniziare o proseguire iltrattamento i sistemi informativi e i programmi informatici sono configuratiriducendo al minimo l'utilizzazione di dati personali e di dati identificativi,in modo da escluderne il trattamento quando le finalit perseguite nei singolicasi possono essere realizzate mediante, rispettivamente, dati anonimi odopportune modalit che permettano di identificare l'interessato solo in caso dinecessit, in conformit all'art. 3 del Codice.
1) Ambito di applicazione a) alle associazioni anche nonriconosciute, ai partiti e ai movimenti politici, alle associazioni e alleorganizzazioni sindacali, ai patronati e alle associazioni di categoria, allecasse di previdenza, alle organizzazioni assistenziali o di volontariato,nonch alle federazioni e confederazioni nelle quali tali soggetti sono riunitiin conformit, ove esistenti, allo statuto, all'atto costitutivo o ad uncontratto collettivo; b) alle fondazioni, ai comitati e adogni altro ente, consorzio od organismo senza scopo di lucro, dotati o meno dipersonalit giuridica, ivi comprese le organizzazioni non lucrative di utilitsociale (Onlus); c) alle cooperative sociali e allesociet di mutuo soccorso di cui, rispettivamente, alle leggi 8 novembre 1991,n. 381 e 15 aprile 1886, n. 3818. L'autorizzazione rilasciata altresagli istituti scolastici anche di tipo non associativo, limitatamente altrattamento dei dati idonei a rivelare le convinzioni religiose e per le operazionistrettamente necessarie per l'applicazione dell'articolo 310 del decretolegislativo 16 aprile 1994, n. 297 e degli artt. 3 e 10 del decreto legislativo19 febbraio 2004, n. 59. Resta fermo l'obbligo per le confessionireligiose di determinare, ai sensi dell'art. 26, comma 3, lett. a) del Codice,idonee garanzie relativamente ai trattamenti effettuati nel rispetto deiprincpi indicati con la presente autorizzazione. Ai sensi dell'art. 181, comma 6, delCodice, le confessioni religiose che, prima dell'adozione del medesimo Codice,abbiano determinato e adottato nell'ambito del rispettivo ordinamento legaranzie di cui all'art. 26, comma 3, lett. a), del Codice possono proseguirel'attivit di trattamento effettuato dai relativi organi, ovvero da enti civilmentericonosciuti, nel rispetto delle medesime.
2) Finalit del trattamento La presente autorizzazione rilasciata,altres, per far valere o difendere un diritto anche da parte di un terzo insede giudiziaria, nonch in sede amministrativa o nelle procedure di arbitratoe di conciliazione nei casi previsti dalla normativa comunitaria, dalle leggi,dai regolamenti o dai contratti collettivi. La presente autorizzazione rilasciataper l'esercizio del diritto di accesso ai documenti amministrativi, nei limitidi quanto stabilito dalle leggi e dai regolamenti in materia. Per i fini predetti, il trattamento deidati sensibili pu riguardare anche la tenuta di registri e scritturecontabili, di elenchi, di indirizzari e di altri documenti necessari per lagestione amministrativa dell'associazione, della fondazione, del comitato o deldiverso organismo, o per l'adempimento di obblighi fiscali, ovvero per ladiffusione di riviste, bollettini e simili. Qualora i soggetti di cui alle letterea), b) e c) si avvalgano di persone giuridiche o di altri organismi con scopodi lucro o di liberi professionisti per perseguire le predette finalit, ovverorichiedano ad essi la fornitura di beni, prestazioni o servizi, la presenteautorizzazione rilasciata anche ai medesimi organismi, persone giuridiche oliberi professionisti. I soggetti di cui alle lettere a), b) ec) possono comunicare alle persone giuridiche e agli organismi con scopo dilucro titolari di un autonomo trattamento, i soli dati sensibili strettamenteindispensabili per le attivit di effettivo ausilio alle predette finalit, conparticolare riferimento alle generalit degli interessati e ad indirizzari,sulla base di un atto scritto che individui con precisione le informazionicomunicate, le modalit del successivo utilizzo, le particolari misure disicurezza, nonch, ove previsto, le idonee garanzie determinate. Ladichiarazione scritta di consenso degli interessati deve porre tale circostanzain particolare evidenza e deve recare la precisa menzione dei titolari deltrattamento e delle finalit da essi perseguite. Le persone giuridiche e gliorganismi con scopo di lucro, oltre a quanto previsto nei punti 4) e 6) in temadi pertinenza, non eccedenza e indispensabilit dei dati, possono trattare idati cos acquisiti solo per scopi di ausilio alle finalit predette, ovveroper scopi amministrativi e contabili.
3) Interessati ai quali i dati siriferiscono Il trattamento puriguardare i dati sensibili attinenti: a) agli associati, ai soci e, sestrettamente indispensabile per il perseguimento delle finalit di cui al punto1), ai relativi familiari e conviventi; b) agli aderenti, ai sostenitori osottoscrittori, nonch ai soggetti che presentano richiesta di ammissione o diadesione o che hanno contatti regolari con l'associazione, la fondazione o ildiverso organismo; c) ai soggetti che ricoprono carichesociali o onorifiche; d) ai beneficiari, agli assistiti eai fruitori delle attivit o dei servizi prestati dall'associazione o daldiverso organismo, limitatamente ai soggetti individuabili in base allo statutoo all'atto costitutivo, ove esistenti, o comunque a coloro nell'interesse deiquali i soggetti menzionati al punto 1) possono operare in base ad unaprevisione normativa; e) agli studenti iscritti o chehanno presentato domanda di iscrizione agli istituti di cui al punto 1) e,qualora si tratti di minori, ai loro genitori o a chi ne esercita la potest; f) ai lavoratori dipendenti degliassociati e dei soci, limitatamente ai dati idonei a rivelare l'adesione asindacati, associazioni od organizzazioni a carattere sindacale e alleoperazioni necessarie per adempiere a specifici obblighi derivanti da contratticollettivi anche aziendali.
4) Categorie di dati oggetto ditrattamento L'autorizzazionenon riguarda i dati idonei a rivelare lo stato di salute e la vita sessuale, aiquali si riferisce l'autorizzazione generale n. 2/2008. Il trattamento pu avere per oggetto glialtri dati sensibili di cui all'articolo 4, comma 1, lett. d) del Codice,idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose,filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti,sindacati, associazioni od organizzazioni a carattere religioso, filosofico,politico o sindacale. Il trattamento pu riguardare i dati e leoperazioni indispensabili per perseguire le finalit di cui al punto 1) o,comunque, per adempiere ad obblighi derivanti dalla legge, dalla normativacomunitaria, dai regolamenti o dai contratti collettivi, che non possano essereperseguiti o adempiuti, caso per caso, mediante il trattamento di dati anonimio di dati personali di natura diversa. A tal fine, anche mediante controlliperiodici, deve essere verificata costantemente la stretta pertinenza, noneccedenza e indispensabilit dei dati rispetto ai predetti obblighi e finalit,in particolare per quanto riguarda i dati che rivelano le opinioni e le intimeconvinzioni, anche con riferimento ai dati che l'interessato fornisce dipropria iniziativa. I dati che, anche a seguito delle verifiche, risultanoeccedenti o non pertinenti o non indispensabili non possono essere utilizzati,salvo per l'eventuale conservazione, a norma di legge, dell'atto o deldocumento che li contiene.
5) Modalit di trattamento I dati sono raccolti, di regola, pressol'interessato. Fermo restando quanto previsto ai punti2) e 7) della presente autorizzazione, se indispensabile, in conformit almedesimo punto 7), comunicare o diffondere dati all'esterno dell'associazione,della fondazione, del comitato o del diverso organismo, il consenso scritto acquisito previa idonea informativa resa agli interessati ai sensi dell'art. 13del Codice, la quale deve precisare le specifiche modalit di utilizzo dei datitenuto conto delle idonee garanzie adottate relativamente ai trattamentieffettuati.
6) Conservazione dei dati Le verifiche di cui al punto 4) devonoriguardare anche la pertinenza, non eccedenza e indispensabilit dei datirispetto all'attivit svolta dall'interessato o al rapporto che intercorre tral'interessato e i soggetti di cui al punto 1), tenendo presente il genere diprestazione, di beneficio o di servizio offerto all'interessato e la posizionedi quest'ultimo rispetto ai soggetti stessi.
7) Comunicazione e diffusione deidati I dati sensibili possonoessere comunicati a soggetti pubblici o privati, e ove necessario diffusi, solose strettamente pertinenti alle finalit, agli scopi e agli obblighi di cui alpunto 2) e tenendo presenti le altre prescrizioni sopraindicate. I dati sensibili possono esserecomunicati alle autorit competenti se necessario per finalit di prevenzione,accertamento o repressione dei reati, con l'osservanza delle norme che regolanola materia. I dati relativi allo stato di salute ealla vita sessuale non possono essere diffusi.
8) Richieste di autorizzazione Le richieste di autorizzazione pervenuteo che perverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo. Il Garante non prender in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformit alleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art. 41 delCodice, il loro accoglimento sia giustificato da circostanze del tuttoparticolari o da situazioni eccezionali non considerate nella presenteautorizzazione.
9) Norme finali Restano inoltre ferme le norme volte aprevenire discriminazioni, e in particolare le disposizioni contenute neldecreto-legge 26 aprile 1993, n. 122, convertito, con modificazioni, dallalegge 25 giugno 1993, n. 205, in materia di discriminazione per motivirazziali, etnici, nazionali o religiosi e di delitti di genocidio, nel decretolegislativo 9 luglio 2003, n. 215 di attuazione della direttiva 2000/43/CE perla parit di trattamento tra le persone indipendentemente dalla razza edall'origine etnica e nel decreto legislativo 9 luglio 2003, n. 216, diattuazione della direttiva 2000/78/CE per la parit di trattamento in materiadi occupazione e di condizioni di lavoro.
10) Efficacia temporale e disciplinatransitoria La presenteautorizzazione ha efficacia a decorrere dal 1 luglio 2008 fino al 31 dicembre2009, salve eventuali modifiche che il Garante ritenga di dover apportare inconseguenza di eventuali novit normative rilevanti in materia. La presente autorizzazione sarpubblicata nella Gazzetta Ufficiale della Repubblica italiana. Roma, 19 giugno 2008 IL PRESIDENTE Pizzetti IL RELATORE Paissan |