IL GARANTE
PER LAPROTEZIONE DEI DATI PERSONALI

In data odierna, con la partecipazione del prof.Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vicepresidente, delprof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. GiovanniButtarelli, segretario generale;

Visto il   decreto legislativo 30giugno 2003, n. 196, recante il Codice in materia di protezione dei datipersonali;

Visto, in particolare, l'art. 4, comma 1, lett.d), del citato Codice, il quale individua i dati sensibili;

Considerato che, ai sensi dell'art. 26, comma 1,del Codice, i soggetti privati e gli enti pubblici economici possono trattare idati sensibili solo previa autorizzazione di questa Autorità e, ove necessario,con il consenso scritto degli interessati, nell'osservanza dei presupposti edei limiti stabiliti dal Codice, nonché dalla legge e dai regolamenti;

Visto il   comma 4, lett. c), delmedesimo art. 26, il quale stabilisce che i dati sensibili possono essereoggetto di trattamento anche senza consenso, previa autorizzazione del Garante,quando il trattamento medesimo è necessario per svolgere una investigazionedifensiva ai sensi della legge 7 dicembre 2000, n. 397 o, comunque, per farvalere o difendere in sede giudiziaria un diritto, sempre che i dati sianotrattati esclusivamente per tali finalità e per il periodo strettamentenecessario al loro perseguimento, e che, quando i dati siano idonei a rivelarelo stato di salute e la vita sessuale dell'interessato il diritto sia di rangopari a quello dell'interessato, ovvero consista in un diritto della personalitào in un altro diritto o libertà fondamentale inviolabile;

Considerato che il trattamento dei dati inquestione può essere autorizzato dal Garante anche d'ufficio con provvedimentidi carattere generale, relativi a determinate categorie di titolari o ditrattamenti (art. 40 del Codice);

Considerato che le autorizzazioni di caratteregenerale sinora rilasciate sono risultate uno strumento idoneo per prescriveremisure uniformi a garanzia degli interessati, rendendo altresì superflua larichiesta di singoli provvedimenti di autorizzazione da parte di numerosi titolaridel trattamento;

Ritenuto opportuno, dopo l'entrata in vigore delCodice, rilasciare nuove autorizzazioni in sostituzione di quelle in scadenzail 30 giugno 2004, armonizzando le prescrizioni già impartite alla lucedell'esperienza maturata;

Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato ai sensi dell'art. 41,comma 5, del Codice, e, in particolare, efficaci per il periodo di dodici mesi,in relazione alla fase di prima applicazione delle nuove disposizioni delCodice e ai lavori avviati per l'adozione del codice di deontologia e buonacondotta di cui all'art. 135 del Codice;

Considerata la necessità di garantire ilrispetto di alcuni princìpi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertàfondamentali, nonché per la dignità delle persone, e, in particolare, per ildiritto alla protezione dei dati personali sancito all'art. 1 del Codice;

Considerato che il Garante ha rilasciato un'autorizzazionedi ordine generale relativa ai dati idonei a rivelare lo stato di salute e lavita sessuale (n. 2/2004, rilasciata il 30 giugno 2004), anche in riferimentoalle predette finalità di ordine giudiziario;

Considerato che numerosi trattamenti aventi talifinalità sono effettuati con l'ausilio di investigatori privati, e che èpertanto opportuno integrare anche le prescrizioni dell'autorizzazione n.2/2004 mediante un ulteriore provvedimento di ordine generale che tengaconto dello specifico contesto dell'investigazione privata, anche al fine diarmonizzare le prescrizioni da impartire alla categoria;

Considerato che ulteriori misure ed accorgimentisaranno prescritti dal Garante all'atto della sottoscrizione del citato codicedi deontologia e di buona condotta in via di emanazione (art. 12 delCodice);

Visto l'art. 167 del Codice;

Visto l'art. 11, comma 2, del Codice, il qualestabilisce che i dati trattati in violazione della disciplina rilevante inmateria di trattamento di dati personali non possono essere utilizzati;

Visti gli articoli   31 eseguenti del Codice e il disciplinare tecnico di cui all'Allegato B almedesimo Codice recanti norme e regole sulle misure di sicurezza;

Visti gli articoli   42 eseguenti del Codice in materia di trasferimento di dati personali all'estero;

Visto l'art. 41 del Codice;

Visti gli atti d'ufficio;

Viste le osservazioni dell'Ufficio formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

Relatore il Prof. Gaetano Rasi;

autorizza

gli investigatori privati a trattare i datisensibili di cui all'art. 4, comma 1, lett. d), del Codice, secondo leprescrizioni di seguito indicate.

Prima di iniziare o proseguire il trattamento isistemi informativi e i programmi informatici sono configurati riducendo alminimo l'utilizzazione di dati personali e di dati identificativi, in modo daescluderne il trattamento quando le finalità perseguite nei singoli casipossono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalità che permettano di identificare l'interessato solo in caso dinecessità, in conformità all'art. 3 del Codice.

1) Ambito di applicazione

La presente autorizzazione è rilasciata, anchesenza richiesta, alle persone fisiche e giuridiche, agli istituti, agli enti,alle associazioni e agli organismi che esercitano un'attività di investigazioneprivata autorizzata con licenza prefettizia (art. 134 del regio decreto 18giugno 1931, n. 773, e successive modificazioni e integrazioni).

2) Finalità del trattamento

Il trattamento può essere effettuato unicamenteper l'espletamento dell'incarico ricevuto dai soggetti di cui al punto 1) e inparticolare:

a) perpermettere a chi conferisce uno specifico incarico di far valere o difendere insede giudiziaria un proprio diritto, che, quando i dati siano idonei a rivelarelo stato di salute e la vita sessuale dell'interessato, deve essere di rangopari a quello del soggetto al quale si riferiscono i dati, ovvero consistentein un diritto della personalità o in un altro diritto o libertà fondamentale edinviolabile;

b) suincarico di un difensore in riferimento ad un procedimento penale, perricercare e individuare elementi a favore del relativo assistito da utilizzareai soli fini dell'esercizio del diritto alla prova (art. 190 del codice diprocedura penale e legge 7 dicembre 2000, n. 397).

Restano ferme le altre autorizzazioni generalirilasciate ai fini dello svolgimento delle investigazioni in relazione ad unprocedimento penale o per l'esercizio di un diritto in sede giudiziaria, inparticolare:

a) nell'ambitodei rapporti di lavoro (autorizzazione n. 1/2004, rilasciata il 30 giugno2004);

b) relativamenteai dati idonei a rivelare lo stato di salute e la vita sessuale (autorizzazionen. 2/2004, rilasciata il 30 giugno 2004);

c) daparte degli organismi di tipo associativo e delle fondazioni (autorizzazione n.3/2004, rilasciata il 30 giugno 2004);

d) daparte dei liberi professionisti iscritti in albi o elenchi professionali, iviinclusi i difensori e i relativi sostituti ed ausiliari (autorizzazione n.4/2004, rilasciata il 30 giugno 2004);

e) relativamenteai dati di carattere giudiziario (autorizzazione n. 7/2004, rilasciata il 30giugno 2004).

3) Categorie di dati e interessati ai quali idati si riferiscono

Il trattamento può riguardare i dati sensibilidi cui all'art. 4, comma 1, lett. d) del Codice, qualora ciò siastrettamente indispensabile per eseguire specifici incarichi conferiti perscopi determinati e legittimi nell'ambito delle finalità di cui al punto 1),che non possano essere adempiute mediante il trattamento di dati anonimi o didati personali di natura diversa.

I dati devono essere pertinenti e non eccedentirispetto agli incarichi conferiti.

4) Modalità di trattamento

Gli investigatori privati non possonointraprendere di propria iniziativa investigazioni, ricerche o altre forme diraccolta di dati. Tali attività possono essere eseguite esclusivamente sullabase di un apposito incarico conferito per iscritto, anche da un difensore, perle esclusive finalità di cui al punto 2).

L'atto di incarico deve menzionare in manieraspecifica il diritto che si intende esercitare in sede giudiziaria, ovvero ilprocedimento penale al quale l'investigazione è collegata, nonché i principalielementi di fatto che giustificano l'investigazione e il termine ragionevoleentro cui questa deve essere conclusa.

Fermi restando gli obblighi previsti dagliarticoli   11 e  14 del Codice, nonché dagliarticoli  31 e seguenti del Codice e dall'Allegato B) almedesimo Codice, il trattamento dei dati sensibili deve essere effettuatounicamente con operazioni, nonché con logiche e mediante forme diorganizzazione dei dati strettamente indispensabili in rapporto alle finalitàdi cui al punto 2).

L'interessato o la persona presso la quale sonoraccolti i dati deve essere informata ai sensi dell'art. 13 del Codice,ponendo in particolare evidenza l'identità e la qualità professionaledell'investigatore, nonché la natura facoltativa del conferimento dei dati.

Nel caso in cui i dati sono raccolti pressoterzi, è necessario informare l'interessato e acquisire il suo consenso scritto(art. 13, commi 1, 4 e 5 e art.   26, comma 4, del Codice), solose i dati sono trattati per un periodo superiore a quello strettamente necessarioper esercitare il diritto in sede giudiziaria o per svolgere le investigazionidifensive, oppure se i dati sono utilizzati per ulteriori finalità nonincompatibili con quelle precedentemente perseguite.

Il difensore o il soggetto che ha conferitol'incarico devono essere informati periodicamente dell'andamentodell'investigazione, anche al fine di permettere loro una valutazionetempestiva circa le determinazioni da adottare riguardo all'esercizio deldiritto in sede giudiziaria o al diritto alla prova.

L'investigatore privato deve eseguirepersonalmente l'incarico ricevuto e non può avvalersi di altri investigatorinon indicati nominativamente all'atto del conferimento dell'incarico.

Nel caso in cui si avvalga di collaboratoriinterni designati quali responsabili o incaricati del trattamento in conformitàa quanto previsto dagli articoli   29 e  30 delCodice, l'investigatore privato deve vigilare con cadenza almeno settimanalesulla puntuale osservanza delle norme di legge e delle istruzioni impartite.Tali soggetti possono avere accesso ai soli dati strettamente pertinenti allacollaborazione ad essi richiesta.

Per quanto non previsto nella presenteautorizzazione, il trattamento dei dati idonei a rivelare lo stato di salute ela vita sessuale deve essere effettuato nel rispetto delle ulterioriprescrizioni contenute nell'autorizzazione generale n. 2/2004 e,allorché rilasciata, in quella prevista dall'art. 90 del Codice, inparticolare per ciò che riguarda le informazioni relative ai nascituri e aidati genetici.

Il trattamento dei dati deve inoltre rispettarele prescrizioni del codice di deontologia e di buona condotta di cuiall'articolo 135 del Codice in via di definizione.

5) Conservazione dei dati

Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lett. e), del Codice i dati sensibili possono essereconservati per un periodo non superiore a quello strettamente necessario pereseguire l'incarico ricevuto.

A tal fine deve essere verificata costantemente,anche mediante controlli periodici, la stretta pertinenza, non eccedenza eindispensabilità dei dati rispetto alle finalità perseguite e all'incaricoconferito.

Una volta conclusa la specifica attivitàinvestigativa, il trattamento deve cessare in ogni sua forma, fatta eccezioneper l'immediata comunicazione al difensore o al soggetto che ha conferitol'incarico.

La mera pendenza del procedimento al qualel'investigazione è collegata, ovvero il passaggio ad altre fasi di giudizio inattesa della formazione del giudicato, non costituiscono, di per se stessi, unagiustificazione valida per la conservazione dei dati da partedell'investigatore privato.

6) Comunicazione e diffusione dei dati

I dati possono essere comunicati unicamente alsoggetto che ha conferito l'incarico.

I dati non possono essere comunicati ad un altroinvestigatore privato, salvo che questi sia stato indicato nominativamentenell'atto di incarico e la comunicazione sia necessaria per lo svolgimento deicompiti affidati.

I dati idonei a rivelare lo stato di salutepossono essere comunicati alle autorità competenti solo se è necessario perfinalità di prevenzione, accertamento o repressione dei reati, con l'osservanzadelle norme che regolano la materia.

I dati relativi allo stato di salute e alla vitasessuale non possono essere diffusi.

7) Richieste di autorizzazione

I titolari dei trattamenti che rientranonell'ambito di applicazione della presente autorizzazione non sono tenuti apresentare una richiesta di autorizzazione a questa Autorità, qualora iltrattamento che si intende effettuare sia conforme alle prescrizioni suddette.

Le richieste di autorizzazione pervenute o cheperverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo.

Il Garante non prenderà in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformità alleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art.41 del Codice, il loro accoglimento sia giustificato da circostanze del tuttoparticolari o da situazioni eccezionali non considerate nella presenteautorizzazione.

8) Norme finali

Restano fermi gli obblighi previsti dallanormativa comunitaria, ovvero da norme di legge o di regolamento, chestabiliscono divieti o limiti in materia di trattamento di dati personali e, inparticolare:

a) dagliarticoli 4 (impianti e apparecchiature per finalità di controllo a distanza deilavoratori) e 8 (indagini sulle opinioni del lavoratore o su altri fatti nonrilevanti ai fini della valutazione dell'attitudine professionale) della legge20 maggio 1970, n. 300 e dall'art. 10 (indagini sulle opinioni dellavoratore e trattamenti discriminatori) del d.lg. 10 settembre 2003, n. 276;

b) dallalegge 5 giugno 1990, n. 135, in materia di sieropositività e di infezione daHIV;

c) dallenorme processuali o volte a prevenire discriminazioni;

d) dall'art.734-bis del Codice penale, il quale vieta la divulgazione non consensualedelle generalità o dell'immagine della persona offesa da atti di violenza sessuale.

Restano fermi, in particolare, gli obblighiprevisti in tema di liceità e di correttezza nell'uso di strumenti oapparecchiature che permettono la raccolta di informazioni anche sonore ovisive, ovvero in tema di accesso a banche dati o di cognizione del contenutodella corrispondenza e di comunicazioni o conversazioni telefoniche,telematiche o tra soggetti presenti.

Resta ferma la facoltà per le persone fisiche ditrattare direttamente dati per l'esclusivo fine della tutela di un propriodiritto in sede giudiziaria, anche nell'ambito delle investigazioni relative adun procedimento penale. In tali casi, il Codice non si applica anche se i datisono comunicati occasionalmente ad una autorità giudiziaria o a terzi, sempreche i dati non siano destinati ad una comunicazione sistematica o alladiffusione (art. 5, comma 3, del Codice).

9) Efficacia temporale e disciplinatransitoria

La presente autorizzazione ha efficacia adecorrere dal 1° luglio 2004 fino al 30 giugno 2005.

Qualora alla data della pubblicazione dellapresente autorizzazione il trattamento non sia già conforme alle prescrizioninon contenute nella precedente   autorizzazione n. 6/2002, iltitolare deve adeguarsi ad esse entro il 30 settembre 2004.

La presente autorizzazione sarà pubblicata nellaGazzetta Ufficiale della Repubblica italiana.

Roma, 30 giugno 2004

IL PRESIDENTE
Rodotà

IL RELATORE
Rasi

IL SEGRETARIO GENERALE
Buttarelli