| GARANTE PER LA PROTEZIONE DEI DATI PERSONALI Autorizzazione n. 5/1997al trattamento dei dati sensibili da parte di diverse categorie di titolari IL GARANTE Vista la legge 31 dicembre 1996, n. 675, e successivemodificazioni ed integrazioni, in materia di tutela delle personee di altri soggetti rispetto al trattamento dei dati personali; Visto, in particolare, l'articolo 22, comma 1, dellacitata legge n. 675/96, il quale individua come "sensibili"i dati personali idonei a rivelare, l'origine razziale ed etnica,le convinzioni religiose, filosofiche o di altro genere, le opinionipolitiche, l'adesione a partiti, sindacati, associazioni, od organizzazionia carattere religioso, filosofico, politico o sindacale, nonché‚i dati personali idonei a rivelare lo stato di salute e la vitasessuale; Considerato che i soggetti privati e gli enti pubblicieconomici possono trattare tali dati solo previa autorizzazionedi questa Autorità e con il consenso scritto degli interessati(art. 22, comma 1, legge n. 675/96); Considerato che il Garante può rilasciarel'autorizzazione anche d'ufficio, nei confronti di singoli titolarioppure, con provvedimenti generali, nei riguardi di determinatecategorie di titolari o di trattamenti (articolo 41, comma 7,della legge n.675/96, modificato dall'articolo 4, comma 1, deldecreto legislativo 9 maggio 1997, n. 123); Ritenuto opportuno rilasciare un'autorizzazione generalevolta a semplificare gli adempimenti previsti dalla legge n. 675/96,ad armonizzare le prescrizioni da impartire e a favorire la funzionalitàdell'Ufficio del Garante; Rilevato che sono in fase di predisposizione alcunidecreti legislativi per il completamento della disciplina sullaprotezione dei dati personali, i quali, in attuazione della legge31 dicembre 1996 n.676, dovranno prevedere entro il 23 luglio1998 alcune norme integrative riguardanti i dati sensibili, anchein attuazione delle raccomandazioni adottate in materia dal Consigliod'Europa; Considerata l'opportunità che in questa fasetransitoria le autorizzazioni non rechino disposizioni particolarmentedettagliate, e ciò allo scopo di evitare che l'attivitàdei titolari sia soggetta a modifiche sostanziali nel corso diun breve periodo, ferme restando alcune garanzie per gli interessati; Ritenuto pertanto opportuno rilasciare, allo stato,un'autorizzazione provvisoria, anche in conformità a quantoprevisto dall'emanando regolamento concernente l'organizzazionee il funzionamento dell'Ufficio di questa Autorità; Ritenuta, tuttavia, la necessità che l'autorizzazioneprenda in considerazione le finalità dei trattamenti, lecategorie di dati, di interessati e di destinatari della comunicazionee della diffusione, nonché‚ il periodo di conservazionedei dati stessi, in quanto la disciplina di tali aspetti èprevista dalla legge n.675/96 ai fini dell'applicazione dellenorme sull'esonero dall'obbligo della notificazione e sulla notificazionesemplificata (articolo 7, comma 5-quater); Considerata la necessità che sia garantito,anche nell'attuale fase transitoria, il rispetto di alcuni principivolti a ridurre al minimo i rischi di danno o di pericolo chei trattamenti potrebbero comportare per i diritti e le libertàfondamentali, nonché, per la dignità delle persone,specie per quanto riguarda la riservatezza e l'identitàpersonale, principi valutati anche sulla base delle raccomandazionidel Consiglio d'Europa; Considerato che numerosi trattamenti di dati sensibilisono effettuati da persone fisiche o giuridiche operanti nei ramiassicurativo, previdenziale, assistenziale, bancario, finanziarioe di intermediazione finanziaria, nel settore turistico e deltrasporto di persone, delle ricerche di mercato, dei sondaggidi opinione o della selezione del personale, nonché dellamediazione a fini matrimoniali, e che è pertanto necessarioche tali trattamenti formino oggetto di un'autorizzazione generaleai sensi dell'articolo 41, comma 7, della legge n. 675/96; Autorizza: il trattamento dei dati sensibili di cui all'articolo22, comma 1, della legge n. 675/96, fatta eccezione dei dati idoneia rivelare la vita sessuale, secondo le prescrizioni di seguitoindicate. Capo I 1) Soggetti ai quali è rilasciata l'autorizzazione: a) imprese autorizzate all'esercizio dell'attivitàbancaria o assicurativa ed organismi che le riuniscono; b) società ed altri organismi che gestisconofondi-pensione o di assistenza, ovvero fondi o casse di previdenza; c) società ed altri organismi per la gestioneo l'intermediazione di fondi comuni di investimento o di valorimobiliari; d) società ed altri organismi che emettonocarte di credito o altri mezzi di pagamento, o che ne gestisconole relative operazioni; e) imprese che svolgono autonome attivitàstrettamente connesse e strumentali a quelle indicate nelle precedentilettere, e relative alla rilevazione dei rischi, al recupero deicrediti, a lavorazioni massive di documenti, alla trasmissionedati, all'imbustamento o allo smistamento della corrispondenza,nonché‚ alla gestione di esattorie o tesorerie; f) imprese che operano nel settore turistico o alberghieroo del trasporto, ivi comprese le agenzie di viaggio e gli operatorituristici. 2) Finalità del trattamento L'autorizzazione è rilasciata, anche senzarichiesta, limitatamente ai dati e alle operazioni indispensabiliper adempiere agli obblighi anche precontrattuali che i soggettidi cui al punto 1) assumono, nel proprio settore di attività,al fine di fornire specifici beni, prestazioni o servizi richiestidall'interessato. L'autorizzazione è rilasciata anche peradempiere o per esigere l'adempimento ad obblighi previsti, anchein materia fiscale, dalla legge, dai regolamenti, dalla normativacomunitaria o dai contratti collettivi, o prescritti da autoritàod organi di vigilanza o di controllo nei casi indicati dallalegge o dai regolamenti. Il trattamento avente tali finalitàpuò riguardare anche la tenuta di registri e scritturecontabili, di elenchi, di indirizzari e di altri documenti necessariper espletare compiti di organizzazione o di gestione amministrativadi imprese, società, cooperative o consorzi. 3) Interessati ai quali i dati si riferiscono e categoriedi dati trattati Il trattamento può riguardare i dati sensibiliattinenti ai soggetti ai quali sono forniti i beni, le prestazionio i servizi, in misura strettamente pertinente a quanto specificamenterichiesto dall'interessato che abbia manifestato il proprio consensoscritto ed informato. Nei medesimi limiti, è possibiletrattare dati relativi a terzi, allorché‚ non siaaltrimenti possibile procedere alla fornitura al beneficiariodei beni, delle prestazioni o dei servizi. Qualora il consenso sia richiesto nei confronti didistinti titolari di trattamenti, la manifestazione di volontàdeve riferirsi specificamente a ciascuno di essi. 4) Comunicazione e diffusione dei dati I dati sensibili possono essere comunicati nei limitistrettamente pertinenti al perseguimento delle finalitàdi cui al punto 2), a soggetti pubblici o privati, ivi compresifondi e casse di previdenza ed assistenza o società controllatee collegate ai sensi dell'articolo 2359 del codice civile, nonchéove necessario, ai familiari dell'interessato. I titolari del trattamento, anche ai fini dell'eventualecomunicazione ad altri titolari delle modifiche apportate ai datiin accoglimento di una richiesta dell'interessato (articolo 13,comma 1, lettera c), n. 4, legge n. 675/96), devono conservareun elenco dei destinatari delle comunicazioni effettuate, recanteun'annotazione delle specifiche categorie di dati comunicati. I dati sensibili non possono essere diffusi. Capo II 1) Soggetti ai quali è rilasciata l'autorizzazionee finalità del trattamento Imprese, società, istituti ed altri organismio soggetti privati, ai soli fini del compimento di sondaggi diopinione, di ricerche di mercato o di altre ricerche campionarie. Il sondaggio o la ricerca devono essere effettuatiper scopi puntualmente determinati e legittimi, noti all'interessato. 2) Interessati ai quali i dati si riferiscono e categoriedi dati trattati Il trattamento può riguardare i dati attinentiai soggetti che abbiano manifestato il proprio consenso informatoe che abbiano risposto a questionari o ad interviste effettuatenell'ambito di sondaggi di opinione, di ricerche di mercato odi altre ricerche campionarie. Il consenso deve essere manifestato in ogni casoper iscritto. I dati personali di natura sensibile possono esseretrattati solo se il trattamento di dati anonimi non permette alsondaggio o alla ricerca di raggiungere i suoi scopi. 3) Conservazione dei dati Il trattamento successivo alla raccolta non devepermettere di identificare gli interessati, neanche indirettamentemediante un riferimento ad una qualsiasi altra informazione. I dati personali, individuali o aggregati, devonoessere distrutti o resi anonimi subito dopo la raccolta, e comunquenon oltre la fase contestuale alla registrazione dei campioniraccolti. La registrazione deve essere effettuata senza ritardoanche nel caso in cui i campioni siano stati raccolti in numeroelevato. Entro tale ambito temporale, resta ferma la possibilitàper il titolare della raccolta, nonché per i suoi responsabilio incaricati, di utilizzare i dati personali al fine di verificarepresso gli interessati la veridicità o l'esattezza deicampioni. 4) Comunicazione dei dati I dati sensibili non possono essere né comunicatiné diffusi. I campioni del sondaggio o della ricerca possonoessere comunicati o diffusi in forma individuale o aggregata,sempreché non possano essere associati, anche a seguitodi trattamento, ad interessati identificati o identificabili. Capo III 1) Soggetti ai quali è rilasciata l'autorizzazione Imprese, società, istituti ed altri organismio soggetti privati, titolari autonomi di un'attività svoltanell'interesse di altri soggetti, e che presuppone l'elaborazionedi dati ed altre operazioni di trattamento eseguite in materiadi lavoro ovvero a fini contabili, retributivi, previdenziali,assistenziali e fiscali. 2) Prescrizioni applicabili Il trattamento è regolato dalle autorizzazioni: a) n. 1/1997, concernente il trattamento dei datisensibili a cura, in particolare, delle parti di un rapporto dilavoro (pubblicata nella Gazzetta Ufficiale della Repubblica italianan. 272 del 21 novembre 1997), qualora le finalità perseguitesiano quelle indicate al punto 3) di tale autorizzazione; b) n. 4/1997, riguardante il trattamento dei datisensibili ad opera dei liberi professionisti e di altri soggettiequiparati (pubblicata nella Gazzetta Ufficiale della Repubblicaitaliana n. 281 del 2 dicembre 1997), qualora le finalitàperseguite siano quelle indicate al punto 3) di tale autorizzazione. Qualora il consenso sia richiesto nei confronti didistinti titolari di trattamenti, la manifestazione di volontàdeve riferirsi specificamente a ciascuno di essi. Capo IV 1) Soggetti ai quali è rilasciata l'autorizzazionee finalità del trattamento L'autorizzazione è rilasciata, anche senzarichiesta, alle imprese, alle società, agli istituti eagli altri organismi o soggetti privati, titolari autonomi diun'attività svolta anche di propria iniziativa nell'interessedi terzi, ai soli fini della ricerca o della selezione di personale. 2) Interessati ai quali i dati si riferiscono e categoriedi dati trattati Il trattamento può riguardare i dati idoneia rivelare lo stato di salute dei candidati all'instaurazionedi un rapporto di lavoro o di collaborazione, solo se la lororaccolta è giustificata da scopi determinati e legittimied è strettamente indispensabile per instaurare tale rapporto. Il trattamento dei dati idonei a rivelare lo statodi salute dei familiari o dei conviventi dei candidati èconsentito con il consenso scritto degli interessati e qualorasia finalizzato al riconoscimento di uno specifico beneficio infavore dei candidati, in particolare ai fini di un'assunzioneobbligatoria o del riconoscimento di un titolo derivante da invaliditào infermità, da eventi bellici o da ragioni di servizio. Qualora il consenso sia richiesto nei confronti didistinti titolari di trattamenti, la manifestazione di volontàdeve riferirsi specificamente a ciascuno di essi. Il trattamento deve riguardare le sole informazionistrettamente pertinenti a tale finalità, sia in caso dirisposta a questionari inviati anche per via telematica, sia nelcaso in cui i candidati forniscano dati di propria iniziativa,in particolare attraverso l'invio di curricula. Non è consentito il trattamento dei dati: a) idonei a rivelare le convinzioni religiose, filosoficheo di altro genere, le opinioni politiche, l'adesione a partiti,sindacati, associazioni a carattere religioso, filosofico, politicoo sindacale, l'origine razziale ed etnica, e la vita sessuale; b) inerenti a fatti non rilevanti ai fini della valutazionedell'attitudine professionale del lavoratore; c) in violazione delle norme in materia di pari opportunitào volte a prevenire discriminazioni. 3) Comunicazione e diffusione dei dati I dati idonei a rivelare lo stato di salute possonoessere comunicati nei limiti strettamente pertinenti al perseguimentodelle finalità di cui ai punti 1) e 2), a soggetti pubblicio privati che siano specificamente menzionati nella dichiarazionedi consensi dell'interessato. I dati non possono essere diffusi. Capo V 1) Soggetti ai quali è rilasciata l'autorizzazione L'autorizzazione è rilasciata, anche senzarichiesta, alle imprese, alle società, agli istituti eagli altri organismi o soggetti privati che esercitano, ancheattraverso agenzie autorizzate, un'attività di mediazionea fini matrimoniali o di instaurazione di un rapporto di convivenza. 2) Finalità di trattamento L'autorizzazione è rilasciata, anche senzarichiesta, ai soli fini dell'esecuzione dei singoli incarichiconferiti in conformità alle leggi e ai regolamenti. 3) Interessati ai quali i dati si riferiscono Il trattamento può riguardare i soli datisensibili attinenti alle persone direttamente interessate al matrimonioo alla convivenza. Non è consentito il trattamento di dati relativoa persone minori di età in base all'ordinamento del Paesedi appartenenza o, comunque, in base alla legge italiana. 4) Categorie di dati oggetto di trattamenti Il trattamento può riguardare i soli datie le sole operazioni che risultino indispensabili in relazioneallo specifico profilo o alla personalità descritto o richiestodalle persone interessate al matrimonio o alla convivenza. I dati devono essere forniti personalmente dai medesimiinteressati. L'informativa preliminare al consenso scritto deveporre in particolare evidenza le categorie di dati trattati ele modalità della loro comunicazione a terzi. 5) Comunicazione dei dati I dati possono essere comunicati nei limiti strettamentepertinenti all'esecuzione degli specifici incarichi ricevuti. I titolari del trattamento, anche ai fini dell'eventualecomunicazione ad altri titolari delle modifiche apportate ai datiin accoglimento di una richiesta dell'interessato (articolo 13,comma 1, lettera c), n. 4), legge n. 675/96), devono conservareun elenco dei destinatari delle comunicazioni effettuate, recanteun'annotazione delle specifiche categorie di dati comunicati. L'eventuale diffusione anche per via telematica ditaluni dati sensibili deve essere oggetto di apposita autorizzazionedi questa Autorità. 6) Norme finali Restano fermi gli ulteriori obblighi previsti dallalegge e dai regolamenti, in particolare nell'ambito della leggepenale e della disciplina di pubblica sicurezza, nonché‚in materia di tutela dei minori. Capo VI Per quanto non previsto dai capi che precedono, aitrattamenti ivi indicati si applicano, altresì, le seguentiprescrizioni: 1) Dati idonei a rivelare lo stato di salute Il trattamento dei dati idonei a rivelare lo statodi salute deve essere effettuato anche nel rispetto dell'autorizzazionen. 2/1997, pubblicata nella Gazzetta Ufficiale della Repubblicaitaliana 29 novembre 1997, n. 279. Il trattamento dei dati generici non è consentitonei casi previsti dalla presente autorizzazione. 2) Modalità di trattamento Fermi restando gli obblighi previsti dagli articoli9, 15, 17 e 28 della legge n. 675/96, concernenti i requisitidei dati personali, la sicurezza e i limiti posti ai trattamentiautorizzati volti a definire il profilo o la personalitàdegli interessati, nonché il trasferimento all'estero deidati, il trattamento dei dati sensibili deve essere effettuatounicamente con logiche e forme di organizzazione dei dati strettamentecorrelate alle finalità indicate nei capi che precedono. Resta inoltre fermo l'obbligo di informare l'interessato,ai sensi dell'articolo 10, commi 1 e 3, della legge n. 675/96,anche quando i dati sono raccolti presso terzi. 3) Conservazione dei dati Nel quadro del rispetto dell'obbligo previsto dall'art.9, comma 1, lett. e) della legge 31 dicembre 1996, n. 675, i datisensibili possono essere conservati per un periodo non superiorea quello necessario per perseguire le finalità ovvero peradempiere agli obblighi o agli incarichi menzionati nei precedenticapi, verificando anche periodicamente la stretta pertinenza ela non eccedenza dei dati trattati. Restano fermi i diversi termini di conservazioneprevisti dalle leggi o dai regolamenti. Resta altresì fermo quanto previsto nel capoII in materia di sondaggi e di ricerche. 4) Richieste di autorizzazione I titolari dei trattamenti che rientrano nell'ambitodi applicazione della presente autorizzazione non sono tenutia presentare una richiesta di autorizzazione a questa Autorità,qualora il trattamento che si intende effettuare sia conformealle prescrizioni suddette. Le richieste di autorizzazione pervenute o che perverrannoanche successivamente alla data di adozione del presente provvedimento,devono intendersi accolte nei termini di cui al provvedimentomedesimo. Il Garante non prenderà in considerazionerichieste di autorizzazione per trattamenti da effettuarsi indifformità alle prescrizioni del presente provvedimento,salvo che il loro accoglimento sia giustificato da circostanzedel tutto particolari o da situazioni eccezionali non consideratenella presente autorizzazione. 5) Norme finali Restano fermi gli obblighi previsti da norme di leggeo di regolamento o dalla normativa comunitaria che stabilisconodivieti o limiti più restrittivi in materia di trattamentodi dati personali e, in particolare: a) dalla legge 20 maggio 1970, n. 300; b) dalla legge 5 giugno 1990, n. 135. Restano altresì fermi gli obblighi deontologici,nonché gli obblighi di legge che vietano la rivelazionesenza giusta causa e l'impiego a proprio o altrui profitto dellenotizie coperte dal segreto professionale. Resta ferma, infine, la possibilità di diffonderedati anonimi anche aggregati. 6) Efficacia temporale e disciplina transitoria La presente autorizzazione ha efficacia a decorreredal 30 novembre 1997, fino al 30 settembre 1998. Qualora alla data odierna il trattamento non siagià conforme alle prescrizioni della presente autorizzazione,il titolare può adeguarsi ad esse entro il 15 gennaio 1998,sempreché le caratteristiche del trattamento non permettanoun adeguamento entro un termine più breve. La presente autorizzazione sarà pubblicatanella Gazzetta Ufficiale della Repubblica italiana. p. Il Presidente :Santaniello |