| Garante per la protezione dei dati personali Autorizzazione n. 3/2012 Autorizzazione al trattamento dei dati sensibili daparte degli organismi di tipo associativo e delle fondazioni Autorizzazione del 13 dicembre 2012 (Pubblicata sulla GU n.3 del 4-1-2013 - Suppl. Ordinario n. 2) Registro dei provvedimenti n. 400 del 13 dicembre 2012 IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI Indata odierna, con la partecipazione del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della dott.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale; VISTOil decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia diprotezione dei dati personali; VISTO,in particolare, l'art. 4, comma 1, lett. d), del citato Codice, il qualeindividua i dati sensibili; CONSIDERATOche, ai sensi dell'art. 26, comma 1, del Codice, i soggetti privati e gli entipubblici economici possono trattare i dati sensibili solo previa autorizzazionedi questa Autorità e, ove necessario, con il consenso scritto degliinteressati, nell'osservanza dei presupposti e dei limiti stabiliti dal Codice,nonché dalla legge e dai regolamenti; VISTOaltresì il comma 4, lett. a), del citato art. 26, il quale stabilisce che idati sensibili possono essere oggetto di trattamento anche senza consenso,previa autorizzazione del Garante, "quando il trattamento è effettuatoda associazioni, enti ed organismi senza scopo di lucro, anche nonriconosciuti, a carattere politico, filosofico, religioso o sindacale, ivicompresi partiti e movimenti politici, per il perseguimento di scopideterminati e legittimi individuati dall'atto costitutivo, dallo statuto o dalcontratto collettivo, relativamente ai dati personali degli aderenti o deisoggetti che in relazione a tali finalità hanno contatti regolari conl'associazione, ente od organismo, sempre che i dati non siano comunicatiall'esterno o diffusi e l'ente, associazione od organismo determini idoneegaranzie relativamente ai trattamenti effettuati, prevedendo espressamente lemodalità di utilizzo dei dati con determinazione resa nota agli interessatiall'atto dell'informativa ai sensi dell'articolo 13"; VISTOil comma 3, lettere a) e b), del predetto art. 26, il quale stabilisce che ladisciplina di cui al relativo comma 1 non si applica al trattamento: a) deidati relativi agli aderenti alle confessioni religiose e ai soggetti che conriferimento a finalità di natura esclusivamente religiosa hanno contattiregolari con le medesime confessioni, effettuato dai relativi organi, ovvero daenti civilmente riconosciuti, sempre che i dati non siano diffusi o comunicatifuori delle medesime confessioni; b) dei dati riguardanti l'adesione diassociazioni od organizzazioni a carattere sindacale o di categoria ad altreassociazioni, organizzazioni o confederazioni a carattere sindacale o dicategoria; RILEVATOche le confessioni di cui alla lettera a) del medesimo art. 26, comma 3, devonodeterminare idonee garanzie relativamente ai trattamenti effettuati, nelrispetto dei princìpi indicati al riguardo con autorizzazione del Garante; VISTOl'art. 181, comma 6, del Codice secondo cui le confessioni religiose che, primadell'adozione del medesimo Codice, abbiano determinato e adottato nell'ambitodel rispettivo ordinamento le garanzie di cui al predetto art. 26, comma 3,lett. a), possono proseguire l'attività di trattamento nel rispetto dellemedesime; CONSIDERATOche il trattamento dei dati in questione può essere autorizzato dal Garanteanche d'ufficio con provvedimenti di carattere generale, relativi a determinatecategorie di titolari o di trattamenti (art. 40 del Codice); CONSIDERATOche le autorizzazioni di carattere generale sinora rilasciate sono risultateuno strumento idoneo per prescrivere misure uniformi a garanzia degliinteressati, rendendo altresì superflua la richiesta di singoli provvedimentidi autorizzazione da parte di numerosi titolari del trattamento; RITENUTOopportuno rilasciare nuove autorizzazioni in sostituzione di quelle in scadenzail 31 dicembre 2012, armonizzando le prescrizioni già impartite alla lucedell'esperienza maturata; RITENUTOopportuno che anche tali nuove autorizzazioni siano provvisorie e a tempodeterminato, ai sensi dell'art. 41, comma 5, del Codice e, in particolare,efficaci per il periodo di 12 mesi; CONSIDERATAla necessità di garantire il rispetto di alcuni princìpi volti a ridurre alminimo i rischi di danno o di pericolo che i trattamenti potrebbero comportareper i diritti e le libertà fondamentali, nonché per la dignità delle persone, ein particolare, per il diritto alla protezione dei dati personali sancitodall'art. 1 del Codice; CONSIDERATOche un elevato numero di trattamenti di dati sensibili è effettuato da enti edorganizzazioni di tipo associativo e da fondazioni, per la realizzazione discopi determinati e legittimi individuati dall'atto costitutivo, dallo statutoo da un contratto collettivo; VISTOl'art. 167 del Codice; VISTOl'art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati inviolazione della disciplina rilevante in materia di trattamento di datipersonali non possono essere utilizzati; VISTIgli articoli 31 e seguenti del Codice e il disciplinare tecnico di cuiall'Allegato B) al medesimo Codice, recanti norme e regole sulle misure disicurezza; VISTOl'art. 41 del Codice; VISTIgli articoli 42 e seguenti del Codice in materia di trasferimento di datipersonali all'estero; VISTIgli atti d'ufficio; VISTEle osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000; RELATOREla dott.ssa Giovanna Bianchi Clerici; AUTORIZZA iltrattamento dei dati sensibili di cui all'art. 4, comma 1, lett. d), del Codiceda parte di associazioni, fondazioni, comitati ed altri organismi di tipoassociativo, secondo le prescrizioni di seguito indicate. Primadi iniziare o proseguire il trattamento i sistemi informativi e i programmiinformatici sono configurati riducendo al minimo l'utilizzazione di datipersonali e di dati identificativi, in modo da escluderne il trattamento quandole finalità perseguite nei singoli casi possono essere realizzate mediante,rispettivamente, dati anonimi od opportune modalità che permettano diidentificare l'interessato solo in caso di necessità, in conformità all'art. 3del Codice. 1) Ambito di applicazione. Lapresente autorizzazione è rilasciata: L'autorizzazioneè rilasciata altresì agli istituti scolastici, limitatamente al trattamento deidati idonei a rivelare le convinzioni religiose e per le operazionistrettamente necessarie per l'applicazione dell'articolo 310 del decretolegislativo 16 aprile 1994, n. 297 e degli artt. 3 e 10 del decreto legislativo19 febbraio 2004, n. 59. Restafermo l'obbligo per le confessioni religiose di determinare, ai sensi dell'art.26, comma 3, lett. a) del Codice, idonee garanzie relativamente ai trattamentieffettuati nel rispetto dei princìpi indicati con la presente autorizzazione. Aisensi dell'art. 181, comma 6, del Codice, le confessioni religiose che, prima dell'adozionedel medesimo Codice, abbiano determinato e adottato nell'ambito del rispettivoordinamento le garanzie di cui all'art. 26, comma 3, lett. a), del Codicepossono proseguire l'attività di trattamento effettuato dai relativi organi,ovvero da enti civilmente riconosciuti, nel rispetto delle medesime. 2) Finalità del trattamento. L'autorizzazioneè rilasciata per il perseguimento di scopi determinati e legittimi individuatidall'atto costitutivo, dallo statuto o dal contratto collettivo, ove esistenti,e in particolare per il perseguimento di finalità culturali, religiose,politiche, sindacali, sportive o agonistiche di tipo non professionistico, diistruzione anche con riguardo alla libertà di scelta dell'insegnamentoreligioso, di formazione, di ricerca scientifica, di patrocinio, di tuteladell'ambiente e delle cose d'interesse artistico e storico, di salvaguardia deidiritti civili, nonché di beneficenza, assistenza sociale o socio-sanitaria. Conriferimento al perseguimento delle finalità politiche, la presenteautorizzazione è rilasciata anche per il trattamento dei dati personalieffettuato in occasione delle operazioni connesse allo svolgimento delleelezioni primarie. Lapresente autorizzazione è rilasciata, altresì, per far valere o difendere undiritto anche da parte di un terzo in sede giudiziaria, nonché in sedeamministrativa o nelle procedure di arbitrato e di conciliazione nei casiprevisti dalla normativa comunitaria, dalle leggi, dai regolamenti o daicontratti collettivi. Lapresente autorizzazione è rilasciata per l'esercizio del diritto di accesso aidocumenti amministrativi, nei limiti di quanto stabilito dalle leggi e dairegolamenti in materia. Peri fini predetti, il trattamento dei dati sensibili può riguardare anche latenuta di registri e scritture contabili, di elenchi, di indirizzari e di altridocumenti necessari per la gestione amministrativa dell'associazione, dellafondazione, del comitato o del diverso organismo, o per l'adempimento diobblighi fiscali, ovvero per la diffusione di riviste, bollettini e simili. Qualorai soggetti di cui alle lettere a), b) e c) del punto 1 si avvalgano di personegiuridiche o di altri organismi con scopo di lucro o di liberi professionistiper perseguire le predette finalità, ovvero richiedano ad essi la fornitura dibeni, prestazioni o servizi, la presente autorizzazione è rilasciata anche aimedesimi organismi, persone giuridiche o liberi professionisti. Isoggetti di cui alle predette lettere a), b) e c) possono comunicare allepersone giuridiche e agli organismi con scopo di lucro titolari di un autonomotrattamento, i soli dati sensibili strettamente indispensabili per le attivitàdi effettivo ausilio alle predette finalità, con particolare riferimento allegeneralità degli interessati e ad indirizzari, sulla base di un atto scrittoche individui con precisione le informazioni comunicate, le modalità delsuccessivo utilizzo, le particolari misure di sicurezza, nonché, ove previsto,le idonee garanzie determinate. La dichiarazione scritta di consenso degliinteressati deve porre tale circostanza in particolare evidenza e deve recarela precisa menzione dei titolari del trattamento e delle finalità da essiperseguite. Le persone giuridiche e gli organismi con scopo di lucro, oltre aquanto previsto nei punti 4) e 6) in tema di pertinenza, non eccedenza eindispensabilità dei dati, possono trattare i dati così acquisiti solo perscopi di ausilio alle finalità predette, ovvero per scopi amministrativi econtabili. 3) Interessati ai quali i dati si riferiscono. Iltrattamento può riguardare i dati sensibili attinenti: 4) Categorie di dati oggetto di trattamento. L'autorizzazionenon riguarda i dati idonei a rivelare lo stato di salute e la vita sessuale, aiquali si riferisce l'autorizzazione generale n. 2/2012. Iltrattamento può avere per oggetto gli altri dati sensibili di cui all'articolo4, comma 1, lett. d) del Codice, idonei a rivelare l'origine razziale edetnica, le convinzioni religiose, filosofiche o di altro genere, le opinionipolitiche, l'adesione a partiti, sindacati, associazioni od organizzazioni acarattere religioso, filosofico, politico o sindacale. Iltrattamento può riguardare i dati e le operazioni indispensabili per perseguirele finalità di cui al punto 1) o, comunque, per adempiere ad obblighi derivantidalla legge, dalla normativa comunitaria, dai regolamenti o dai contratticollettivi, che non possano essere perseguiti o adempiuti, caso per caso,mediante il trattamento di dati anonimi o di dati personali di natura diversa. Atal fine, anche mediante controlli periodici, deve essere verificatacostantemente la stretta pertinenza, non eccedenza e indispensabilità dei datirispetto ai predetti obblighi e finalità, in particolare per quanto riguarda idati che rivelano le opinioni e le intime convinzioni, anche con riferimento aidati che l'interessato fornisce di propria iniziativa. I dati che, anche aseguito delle verifiche, risultano eccedenti o non pertinenti o nonindispensabili non possono essere utilizzati, salvo per l'eventuale conservazione,a norma di legge, dell'atto o del documento che li contiene. 5) Modalità di trattamento. Fermirestando gli obblighi previsti dagli articoli 11 e 14 del Codice, e dagliarticoli 31 e seguenti del Codice e dall'Allegato B) al medesimo Codice, iltrattamento dei dati sensibili deve essere effettuato unicamente conoperazioni, nonché con logiche e mediante forme di organizzazione dei datistrettamente indispensabili in rapporto alle finalità, agli scopi e agliobblighi di cui al punto 2). Idati sono raccolti, di regola, presso l'interessato. Fermorestando quanto previsto ai punti 2) e 7) della presente autorizzazione, se èindispensabile, in conformità al medesimo punto 7), comunicare o diffonderedati all'esterno dell'associazione, della fondazione, del comitato o deldiverso organismo, il consenso scritto è acquisito previa idonea informativa resaagli interessati ai sensi dell'art. 13 del Codice, la quale deve precisare lespecifiche modalità di utilizzo dei dati tenuto conto delle idonee garanzieadottate relativamente ai trattamenti effettuati. 6) Conservazione dei dati. Nelquadro del rispetto dell'obbligo previsto dall'art. 11, comma 1, lett. e) delCodice, i dati sensibili possono essere conservati per un periodo non superiorea quello necessario per perseguire le finalità e gli scopi di cui al punto 2),ovvero per adempiere agli obblighi ivi menzionati. Leverifiche di cui all'ultimo periodo del punto 4) devono riguardare anche lapertinenza, non eccedenza e indispensabilità dei dati rispetto all'attivitàsvolta dall'interessato o al rapporto che intercorre tra l'interessato e isoggetti di cui al punto 1), tenendo presente il genere di prestazione, dibeneficio o di servizio offerto all'interessato e la posizione di quest'ultimorispetto ai soggetti stessi. 7) Comunicazione e diffusione dei dati. Idati sensibili possono essere comunicati a soggetti pubblici o privati, e ovenecessario diffusi, solo se strettamente pertinenti alle finalità, agli scopi eagli obblighi di cui al punto 2) e tenendo presenti le altre prescrizionisopraindicate. Fatte salve eventuali specifiche normative di settore, idati personali relativi a sostenitori, sovventori e aderenti a partiti,movimenti, associazioni o organizzazioni a carattere politico possono esserediffusi, per finalità volte a garantire la trasparenza, solo con il consensoscritto degli interessati, previo rilascio di un'idonea informativa cheevidenzi con sufficiente chiarezza la prevista diffusione. Idati sensibili possono essere comunicati alle autorità competenti se necessarioper finalità di prevenzione, accertamento o repressione dei reati, conl'osservanza delle norme che regolano la materia. Idati relativi allo stato di salute e alla vita sessuale non possono esserediffusi. 8) Richieste di autorizzazione. Ititolari dei trattamenti che rientrano nell'ambito di applicazione dellapresente autorizzazione non sono tenuti a presentare una richiesta diautorizzazione a questa Autorità, qualora il trattamento che si intendeeffettuare sia conforme alle prescrizioni suddette. Lerichieste di autorizzazione pervenute o che perverranno anche successivamentealla data di adozione del presente provvedimento, devono intendersi accolte neitermini di cui al provvedimento medesimo. IlGarante non prenderà in considerazione richieste di autorizzazione pertrattamenti da effettuarsi in difformità alle prescrizioni del presenteprovvedimento, salvo che, ai sensi dell'art. 41 del Codice, il loroaccoglimento sia giustificato da circostanze del tutto particolari o dasituazioni eccezionali non considerate nella presente autorizzazione. 9) Norme finali. Restanofermi gli obblighi previsti dalla normativa comunitaria, da norme di legge o diregolamento che stabiliscono divieti o limiti in materia di trattamento di datipersonali. Restanoinoltre ferme le norme volte a prevenire discriminazioni, e in particolare ledisposizioni contenute nel decreto-legge 26 aprile 1993, n. 122, convertito,con modificazioni, dalla legge 25 giugno 1993, n. 205, in materia didiscriminazione per motivi razziali, etnici, nazionali o religiosi e di delittidi genocidio, nel decreto legislativo 9 luglio 2003, n. 215 di attuazione delladirettiva 2000/43/CE per la parità di trattamento tra le personeindipendentemente dalla razza e dall'origine etnica e nel decreto legislativo 9luglio 2003, n. 216, di attuazione della direttiva 2000/78/CE per la parità ditrattamento in materia di occupazione e di condizioni di lavoro. 10) Efficacia temporale e disciplina transitoria. Lapresente autorizzazione ha efficacia a decorrere dal 1 gennaio 2013 e fino al31 dicembre 2013, salve eventuali modifiche che il Garante ritenga di doverapportare in conseguenza di eventuali novità normative rilevanti in materia. Lapresente autorizzazione sarà pubblicata nella Gazzetta Ufficiale dellaRepubblica italiana. Roma, 13 dicembre 2012
|