GARANTE PER LAPROTEZIONE DEI DATI PERSONALI PROVVEDIMENTO 21dicembre 2005 (Autorizzazione n.6/2005 – pubblicata sulla G.U. n.2 del 3/1/2006).
IL GARANTE PER LA PROTEZIONEDEI DATI PERSONALI
In data odierna, con la partecipazione del prof.Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti, e del dott. Giovanni Buttarelli, segretario generale; Visto il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali; Visto, in particolare, l'art. 4, comma 1, lett.d), del citato Codice, il quale individua i dati sensibili; Considerato che, ai sensi dell'art. 26, comma 1,del Codice, i soggetti privati e gli enti pubblici economici possono trattare idati sensibili solo previa autorizzazione di questa Autorit e, ove necessario,con il consenso scritto degli interessati, nell'osservanza dei presupposti edei limiti stabiliti dal Codice, nonch dalla legge e dai regolamenti; Visto il comma 4, lett. c), del medesimo art.26, il quale stabilisce che i dati sensibili possono essere oggetto ditrattamento anche senza consenso, previa autorizzazione del Garante, quando iltrattamento medesimo necessario per svolgere una investigazione difensiva aisensi della legge 7 dicembre 2000, n. 397 o, comunque, per far valere odifendere in sede giudiziaria un diritto, sempre che i dati siano trattatiesclusivamente per tali finalit e per il periodo strettamente necessario alloro perseguimento, e che, quando i dati siano idonei a rivelare lo stato disalute e la vita sessuale dell'interessato il diritto sia di rango pari aquello dell'interessato, ovvero consista in un diritto della personalit o inun altro diritto o libert fondamentale inviolabile; Considerato che il trattamento dei dati inquestione pu essere autorizzato dal Garante anche d'ufficio con provvedimentidi carattere generale, relativi a determinate categorie di titolari o ditrattamenti (art. 40 del Codice); Considerato che le autorizzazioni di caratteregenerale sinora rilasciate sono risultate uno strumento idoneo per prescriveremisure uniformi a garanzia degli interessati, rendendo altres superflua larichiesta di singoli provvedimenti di autorizzazione da parte di numerosititolari del trattamento; Ritenuto opportuno rilasciare nuoveautorizzazioni in sostituzione di quelle in scadenza il 31 dicembre 2005,armonizzando le prescrizioni gi impartite alla luce dell'esperienza maturata; Ritenuto opportuno che anche tali nuoveautorizzazioni siano provvisorie e a tempo determinato, ai sensi dall'art. 41,comma 5, del Codice, e, in particolare, efficaci per il periodo di diciotto mesi; Considerata la necessit di garantire ilrispetto di alcuni principi volti a ridurre al minimo i rischi di danno o dipericolo che i trattamenti potrebbero comportare per i diritti e le libertfondamentali, nonch per la dignit delle persone, e, in particolare, per ildiritto alla protezione dei dati personali sancito all'art. 1 del Codice; Considerato che il Garante ha rilasciatoun'autorizzazione di ordine generale relativa ai dati idonei a rivelare lostato di salute e la vita sessuale (n. 2/2005, rilasciata il 21 dicembre 2005),anche in riferimento alle predette finalit di ordine giudiziario; Considerato che numerosi trattamenti aventi talifinalit sono effettuati con l'ausilio di investigatori privati, e che pertanto opportuno integrare anche le prescrizioni dell'autorizzazione n.2/2005 mediante un ulteriore provvedimento di ordine generale che tenga contodello specifico contesto dell'investigazione privata, anche al fine diarmonizzare le prescrizioni da impartire alla categoria; Considerato che ulteriori misure ed accorgimentisaranno prescritti dal Garante all'atto della sottoscrizione del citato codicedi deontologia e di buona condotta in via di emanazione (art. 12 del Codice); Visto l'art. 167 del Codice; Visto l'art. 11, comma 2, del Codice, il qualestabilisce che i dati trattati in violazione della disciplina rilevante inmateria di trattamento di dati personali non possono essere utilizzati; Visti gli articoli 31 e seguenti del Codice e ildisciplinare tecnico di cui all'Allegato B) al medesimo Codice recanti norme eregole sulle misure di sicurezza; Visti gli articoli 42 e seguenti del Codice inmateria di trasferimento di dati personali all'estero; Visto l'art. 41 del Codice; Visti gli atti d'ufficio; Viste le osservazioni dell'Ufficio formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000; Relatore il dott. Giuseppe Fortunato; Autorizza
gli investigatori privati a trattare i datisensibili di cui all'art. 4, comma 1, lett. d), del Codice, secondo leprescrizioni di seguito indicate. Prima di iniziare o proseguire il trattamento isistemi informativi e i programmi informatici sono configurati riducendo alminimo l'utilizzazione di dati personali e di dati identificativi, in modo daescluderne il trattamento quando le finalit perseguite nei singoli casipossono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalit che permettano di identificare l'interessato solo in caso dinecessit, in conformit all'art. 3 del Codice.
1) Ambito di applicazione La presente autorizzazione rilasciata, anchesenza richiesta, alle persone fisiche e giuridiche, agli istituti, agli enti,alle associazioni e agli organismi che esercitano un'attivit di investigazioneprivata autorizzata con licenza prefettizia (art. 134 del regio decreto 18giugno 1931, n. 773, e successive modificazioni e integrazioni).
2) Finalit del trattamento Il trattamento pu essere effettuato unicamenteper l'espletamento dell'incarico ricevuto dai soggetti di cui al punto 1) e inparticolare: a) per permettere a chi conferisce uno specificoincarico di far valere o difendere in sede giudiziaria un proprio diritto, che,quando i dati siano idonei a rivelare lo stato di salute e la vita sessualedell'interessato, deve essere di rango pari a quello del soggetto al quale siriferiscono i dati, ovvero consistente in un diritto della personalit o in unaltro diritto o libert fondamentale ed inviolabile; b) su incarico di un difensore in riferimento adun procedimento penale, per ricercare e individuare elementi a favore delrelativo assistito da utilizzare ai soli fini dell'esercizio del diritto allaprova (art. 190 del codice di procedura penale e legge 7 dicembre 2000, n. 397) Restano ferme le altre autorizzazioni generalirilasciate ai fini dello svolgimento delle investigazioni in relazione ad unprocedimento penale o per l'esercizio di un diritto in sede giudiziaria, inparticolare: a) nell'ambitodei rapporti di lavoro (autorizzazione n. 1/2005, rilasciata il 21 dicembre2005); b) relativamenteai dati idonei a rivelare lo stato di salute e la vita sessuale (autorizzazionen. 2/2005, rilasciata il 21 dicembre 2005); c) daparte degli organismi di tipo associativo e delle fondazioni (autorizzazione n.3/2005, rilasciata il 21 dicembre 2005); d) daparte dei liberi professionisti iscritti in albi o elenchi professionali, iviinclusi i difensori e i relativi sostituti ed ausiliari (autorizzazione n.4/2005, rilasciata il 21 dicembre 2005); e) relativamenteai dati di carattere giudiziario (autorizzazione n. 7/2005, rilasciata il 21dicembre 2005).
3) Categorie di dati e interessati ai quali idati si riferiscono Il trattamento pu riguardare i dati sensibilidi cui all'art. 4, comma 1, lett. d) del Codice, qualora ci sia strettamenteindispensabile per eseguire specifici incarichi conferiti per scopi determinatie legittimi nell'ambito delle finalit di cui al punto 1), che non possanoessere adempiute mediante il trattamento di dati anonimi o di dati personali dinatura diversa. I dati devono essere pertinenti e non eccedentirispetto agli incarichi conferiti.
4) Modalit di trattamento Gli investigatori privati non possonointraprendere di propria iniziativa investigazioni, ricerche o altre forme diraccolta di dati. Tali attivit possono essere eseguite esclusivamente sullabase di un apposito incarico conferito per iscritto, anche da un difensore, perle esclusive finalit di cui al punto 2). L'atto di incarico deve menzionare in manieraspecifica il diritto che si intende esercitare in sede giudiziaria, ovvero ilprocedimento penale al quale l'investigazione collegata, nonch i principalielementi di fatto che giustificano l'investigazione e il termine ragionevoleentro cui questa deve essere conclusa. Fermi restando gli obblighi previsti dagliarticoli 11 e 14 del Codice, nonch dagli articoli 31 e seguenti del Codice edall'Allegato B) al medesimo Codice, il trattamento dei dati sensibili deveessere effettuato unicamente con operazioni, nonch con logiche e medianteforme di organizzazione dei dati strettamente indispensabili in rapporto allefinalit di cui al punto 2). L'interessato o la persona presso la quale sonoraccolti i dati deve essere informata ai sensi dell'art. 13 del Codice, ponendoin particolare evidenza l'identit e la qualit professionaledell'investigatore, nonch la natura facoltativa del conferimento dei dati. Nel caso in cui i dati sono raccolti pressoterzi, necessario informare l'interessato e acquisire il suo consenso scritto(art. 13, commi 1, 4 e 5 e art. 26, comma 4, del Codice), solo se i dati sonotrattati per un periodo superiore a quello strettamente necessario peresercitare il diritto in sede giudiziaria o per svolgere le investigazionidifensive, oppure se i dati sono utilizzati per ulteriori finalit nonincompatibili con quelle precedentemente perseguite. Il difensore o il soggetto che ha conferitol'incarico devono essere informati periodicamente dell'andamentodell'investigazione, anche al fine di permettere loro una valutazionetempestiva circa le determinazioni da adottare riguardo all'esercizio deldiritto in sede giudiziaria o al diritto alla prova. L'investigatore privato deve eseguirepersonalmente l'incarico ricevuto e non pu avvalersi di altri investigatorinon indicati nominativamente all'atto del conferimento dell'incarico. Nel caso in cui si avvalga di collaboratoriinterni designati quali responsabili o incaricati del trattamento in conformita quanto previsto dagli articoli 29 e 30 del Codice, l'investigatore privatodeve vigilare con cadenza almeno settimanale sulla puntuale osservanza dellenorme di legge e delle istruzioni impartite. Tali soggetti possono avere accesso ai soli datistrettamente pertinenti alla collaborazione ad essi richiesta. Per quanto non previsto nella presenteautorizzazione, il trattamento dei dati idonei a rivelare lo stato di salute ela vita sessuale deve essere effettuato nel rispetto delle ulterioriprescrizioni contenute nell'autorizzazione generale n. 2/2005 e, allorchrilasciata, in quella prevista dall'art. 90 del Codice, in particolare per ciche riguarda le informazioni relative ai nascituri e ai dati genetici. Il trattamento dei dati deve inoltre rispettarele prescrizioni del codice di deontologia e di buona condotta di cuiall'articolo 135 del Codice in via di definizione.
5) Conservazione dei dati Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lett. e), del Codice i dati sensibili possono essereconservati per un periodo non superiore a quello strettamente necessario pereseguire l'incarico ricevuto. A tal fine deve essere verificata costantemente,anche mediante controlli periodici, la stretta pertinenza, non eccedenza eindispensabilit dei dati rispetto alle finalit perseguite e all'incarico conferito. Una volta conclusa la specifica attivitinvestigativa, il trattamento deve cessare in ogni sua forma, fatta eccezioneper l'immediata comunicazione al difensore o al soggetto che ha conferitol'incarico. La mera pendenza del procedimento al quale l'investigazione collegata, ovvero il passaggio ad altre fasi di giudizio in attesa dellaformazione del giudicato, non costituiscono, di per se stessi, unagiustificazione valida per la conservazione dei dati da partedell'investigatore privato.
6) Comunicazione e diffusione dei dati I dati possono essere comunicati unicamente alsoggetto che ha conferito l'incarico. I dati non possono essere comunicati ad un altroinvestigatore privato, salvo che questi sia stato indicato nominativamentenell'atto di incarico e la comunicazione sia necessaria per lo svolgimento deicompiti affidati. I dati idonei a rivelare lo stato di salutepossono essere comunicati alle autorit competenti solo se necessario perfinalit di prevenzione, accertamento o repressione dei reati, con l'osservanzadelle norme che regolano la materia. I dati relativi allo stato di salute e alla vitasessuale non possono essere diffusi.
7) Richieste di autorizzazione I titolari dei trattamenti che rientranonell'ambito di applicazione della presente autorizzazione non sono tenuti apresentare una richiesta di autorizzazione a questa Autorit, qualora iltrattamento che si intende effettuare sia conforme alle prescrizioni suddette. Le richieste di autorizzazione pervenute o cheperverranno anche successivamente alla data di adozione del presenteprovvedimento, devono intendersi accolte nei termini di cui al provvedimentomedesimo. Il Garante non prender in considerazionerichieste di autorizzazione per trattamenti da effettuarsi in difformit alleprescrizioni del presente provvedimento, salvo che, ai sensi dell'art. 41 delCodice, il loro accoglimento sia giustificato da circostanze del tuttoparticolari o da situazioni eccezionali non considerate nella presenteautorizzazione.
8) Norme finali Restano fermi gli obblighi previsti dallanormativa comunitaria, ovvero da norme di legge o di regolamento, chestabiliscono divieti o limiti in materia di trattamento di dati personali e, inparticolare: a) dagliarticoli 4 (impianti e apparecchiature per finalit di controllo a distanza deilavoratori) e 8 (indagini sulle opinioni del lavoratore o su altri fatti nonrilevanti ai fini della valutazione dell'attitudine professionale) della legge20 maggio 1970, n. 300 e dall'art. 10 (indagini sulle opinioni del lavoratore etrattamenti discriminatori) del decreto legislativo 10 settembre 2003, n. 276; b) dallalegge 5 giugno 1990, n. 135, in materia di sieropositivit e di infezione daHIV; c) dallenorme volte a prevenire discriminazioni; d) dall'art.734-bis del Codice penale, il quale vieta la divulgazione non consensuale dellegeneralit o dell'immagine della persona offesa da atti di violenza sessuale. Restano fermi, in particolare, gli obblighiprevisti in tema di liceit e di correttezza nell'uso di strumenti oapparecchiature che permettono la raccolta di informazioni anche sonore ovisive, ovvero in tema di accesso a banche dati o di cognizione del contenutodella corrispondenza e di comunicazioni o conversazioni telefoniche,telematiche o tra soggetti presenti. Resta ferma la facolt per le persone fisiche ditrattare direttamente dati per l'esclusivo fine della tutela di un propriodiritto in sede giudiziaria, anche nell'ambito delle investigazioni relative adun procedimento penale. In tali casi, il Codice non si applica anche se i datisono comunicati occasionalmente ad una autorit giudiziaria o a terzi, sempreche i dati non siano destinati ad una comunicazione sistematica o alladiffusione (art. 5, comma 3, del Codice). 9) Efficacia temporale e disciplinatransitoria La presente autorizzazione ha efficacia adecorrere dal 1 gennaio 2006 fino al 30 giugno 2007, salve eventuali modificheche il Garante ritenga di dover apportare in conseguenza di eventuali novitnormative rilevanti in materia. La presente autorizzazione sar pubblicata nellaGazzetta Ufficiale della Repubblica italiana. Roma, 21 dicembre 2005 IL PRESIDENTE Pizzetti IL RELATORE Fortunato IL SEGRETARIO GENERALE Buttarelli |