| Garante per la protezione dei dati personali Autorizzazione n. 6/2012 Autorizzazione al trattamento dei dati sensibili daparte degli investigatori privati Autorizzazione del 13 dicembre 2012 (Pubblicata sulla GU n.3 del 4-1-2013 - Suppl. Ordinario n. 2) Registro dei provvedimenti n. 403 del 13 dicembre 2012 IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI Indata odierna, con la partecipazione del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della dott.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale; Vistoil decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia diprotezione dei dati personali; Visto,in particolare, l'art. 4, comma 1, lett. d), del citato Codice, il qualeindividua i dati sensibili; Consideratoche, ai sensi dell'art. 26, comma 1, del Codice, i soggetti privati e gli entipubblici economici possono trattare i dati sensibili solo previa autorizzazionedi questa Autorità e, ove necessario, con il consenso scritto degliinteressati, nell'osservanza dei presupposti e dei limiti stabiliti dal Codice,nonché dalla legge e dai regolamenti; Vistoil comma 4, lett. c), del medesimo art. 26, il quale stabilisce che i datisensibili possono essere oggetto di trattamento anche senza consenso, previaautorizzazione del Garante, quando il trattamento medesimo è necessario persvolgere una investigazione difensiva ai sensi della legge 7 dicembre 2000, n.397 o, comunque, per far valere o difendere in sede giudiziaria un diritto,sempre che i dati siano trattati esclusivamente per tali finalità e per ilperiodo strettamente necessario al loro perseguimento, e che, quando i datisiano idonei a rivelare lo stato di salute e la vita sessuale dell'interessatoil diritto sia di rango pari a quello dell'interessato, ovvero consista in undiritto della personalità o in altri diritti o libertà fondamentali; Consideratoche il trattamento dei dati in questione può essere autorizzato dal Garanteanche d'ufficio con provvedimenti di carattere generale, relativi a determinatecategorie di titolari o di trattamenti (art. 40 del Codice); Consideratoche le autorizzazioni di carattere generale sinora rilasciate sono risultateuno strumento idoneo per prescrivere misure uniformi a garanzia degliinteressati, rendendo altresì superflua la richiesta di singoli provvedimentidi autorizzazione da parte di numerosi titolari del trattamento; Ritenutoopportuno rilasciare nuove autorizzazioni in sostituzione di quelle in scadenzail 31 dicembre 2012, armonizzando le prescrizioni già impartite alla lucedell'esperienza maturata; Ritenutoopportuno che anche tali nuove autorizzazioni siano provvisorie e a tempodeterminato, ai sensi dell'art. 41, comma 5, del Codice, e, in particolare,efficaci per il periodo di dodici mesi; Consideratala necessità di garantire il rispetto di alcuni princìpi volti a ridurre alminimo i rischi di danno o di pericolo che i trattamenti potrebbero comportareper i diritti e le libertà fondamentali, nonché per la dignità delle persone,e, in particolare, per il diritto alla protezione dei dati personali sancitodall'art. 1 del Codice; Consideratoche il Garante ha rilasciato un'autorizzazione di ordine generale relativa aidati idonei a rivelare lo stato di salute e la vita sessuale (n. 2/2012), anchein riferimento alle predette finalità di ordine giudiziario; Consideratoche numerosi trattamenti aventi tali finalità sono effettuati con l'ausilio diinvestigatori privati, e che è pertanto opportuno integrare anche le prescrizionidell'autorizzazione n. 2/2012 mediante un ulteriore provvedimento di ordinegenerale che tenga conto dello specifico contesto dell'investigazione privata,anche al fine di armonizzare le prescrizioni da impartire alla categoria; Consideratoche ulteriori misure ed accorgimenti sono state prescritte dal Garante con ilcodice di deontologia e di buona condotta per i trattamenti di dati personalieffettuati per svolgere investigazioni difensive emanato ai sensi dell'art. 12del Codice (deliberazione del Garante n. 60 del 6 novembre 2008, in G.U. 24novembre 2008, n. 275); Vistol'art. 167 del Codice; Vistol'art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati inviolazione della disciplina rilevante in materia di trattamento di dati personalinon possono essere utilizzati; Vistigli articoli 31 e seguenti del Codice e il disciplinare tecnico di cuiall'Allegato B) al medesimo Codice recanti norme e regole sulle misure disicurezza; Vistol'art. 41 del Codice; Vistigli articoli 42 e seguenti del Codice in materia di trasferimento di datipersonali all'estero; Vistigli atti d'ufficio; Vistele osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000; Relatorela dott.ssa Augusta Iannini; Autorizza gliinvestigatori privati a trattare i dati sensibili di cui all'art. 4, comma 1,lett. d), del Codice, secondo le prescrizioni di seguito indicate. Primadi iniziare o proseguire il trattamento i sistemi informativi e i programmiinformatici sono configurati riducendo al minimo l'utilizzazione di datipersonali e di dati identificativi, in modo da escluderne il trattamento quandole finalità perseguite nei singoli casi possono essere realizzate mediante,rispettivamente, dati anonimi od opportune modalità che permettano diidentificare l'interessato solo in caso di necessità, in conformità all'art. 3del Codice. 1) Ambito di applicazione. Lapresente autorizzazione è rilasciata, anche senza richiesta, alle personefisiche e giuridiche, agli istituti, agli enti, alle associazioni e agliorganismi che esercitano un'attività di investigazione privata autorizzata conlicenza prefettizia (art. 134 del regio decreto 18 giugno 1931, n. 773, esuccessive modificazioni e integrazioni). 2) Finalità del trattamento. Iltrattamento può essere effettuato unicamente per l'espletamento dell'incaricoricevuto dai soggetti di cui al punto 1) e in particolare: Restanoferme le altre autorizzazioni generali rilasciate ai fini dello svolgimentodelle investigazioni in relazione ad un procedimento penale o per l'eserciziodi un diritto in sede giudiziaria, in particolare: 3) Categorie di dati e interessati ai quali i datisi riferiscono. Iltrattamento può riguardare i dati sensibili di cui all'art. 4, comma 1, lett.d) del Codice, qualora ciò sia strettamente indispensabile per eseguirespecifici incarichi conferiti per scopi determinati e legittimi nell'ambitodelle finalità di cui al punto 1), che non possano essere adempiute mediante iltrattamento di dati anonimi o di dati personali di natura diversa. Idati devono essere pertinenti e non eccedenti rispetto agli incarichiconferiti. 4) Modalità di trattamento. Gliinvestigatori privati non possono intraprendere di propria iniziativainvestigazioni, ricerche o altre forme di raccolta di dati. Tali attività possonoessere eseguite esclusivamente sulla base di un apposito incarico conferito periscritto, anche da un difensore, per le esclusive finalità di cui al punto 2). L'attodi incarico deve menzionare in maniera specifica il diritto che si intendeesercitare in sede giudiziaria, ovvero il procedimento penale al qualel'investigazione è collegata, nonché i principali elementi di fatto chegiustificano l'investigazione e il termine ragionevole entro cui questa deveessere conclusa. Fermirestando gli obblighi previsti dagli articoli 11 e 14 del Codice, nonché dagliarticoli 31 e seguenti del Codice e dall'Allegato B) al medesimo Codice, iltrattamento dei dati sensibili deve essere effettuato unicamente conoperazioni, nonché con logiche e mediante forme di organizzazione dei datistrettamente indispensabili in rapporto alle finalità di cui al punto 2). L'interessatoo la persona presso la quale sono raccolti i dati deve essere informata aisensi dell'art. 13 del Codice, ponendo in particolare evidenza l'identità e laqualità professionale dell'investigatore, nonché la natura facoltativa delconferimento dei dati. Nelcaso in cui i dati siano raccolti presso terzi, è necessario informarel'interessato e acquisire il suo consenso scritto (art. 13, commi 1, 4 e 5 eart. 26, comma 4, del Codice), solo se i dati sono trattati per un periodosuperiore a quello strettamente necessario per esercitare il diritto in sedegiudiziaria o per svolgere le investigazioni difensive, oppure se i dati sonoutilizzati per ulteriori finalità non incompatibili con quelle precedentementeperseguite. Ildifensore o il soggetto che ha conferito l'incarico devono essere informatiperiodicamente dell'andamento dell'investigazione, anche al fine di permettereloro una valutazione tempestiva circa le determinazioni da adottare riguardoall'esercizio del diritto in sede giudiziaria o al diritto alla prova. L'investigatoreprivato deve eseguire personalmente l'incarico ricevuto e non può avvalersi dialtri investigatori non indicati nominativamente all'atto del conferimentodell'incarico, oppure successivamente in calce a esso qualora tale possibilitàsia stata prevista nell'atto di incarico. Nelcaso in cui si avvalga di collaboratori interni designati quali responsabili oincaricati del trattamento in conformità a quanto previsto dagli articoli 29 e30 del Codice, l'investigatore privato deve vigilare con cadenza almenosettimanale sulla puntuale osservanza delle norme di legge e delle istruzioniimpartite. Tali soggetti possono avere accesso ai soli dati strettamentepertinenti alla collaborazione ad essi richiesta. Perquanto non previsto nella presente autorizzazione, il trattamento dei datiidonei a rivelare lo stato di salute e la vita sessuale deve essere effettuatonel rispetto delle ulteriori prescrizioni contenute nell'autorizzazionegenerale n. 2/2012 e, per ciò che riguarda le informazioni relative ai datigenetici, nel rispetto dell'autorizzazione adottata ai sensi dell'art. 90del Codice. Iltrattamento dei dati deve inoltre rispettare le prescrizioni del codice dideontologia e di buona condotta per i trattamenti di dati personali effettuatiper svolgere investigazioni difensive emanato ai sensi dell'art. 12 del Codice(deliberazione del Garante n. 60 del 6 novembre 2008, in G.U. 24 novembre 2008,n. 275). 5) Conservazione dei dati. Nelquadro del rispetto dell'obbligo previsto dall'art. 11, comma 1, lett. e), delCodice i dati sensibili possono essere conservati per un periodo non superiorea quello strettamente necessario per eseguire l'incarico ricevuto. Atal fine deve essere verificata costantemente, anche mediante controlli periodici,la stretta pertinenza, non eccedenza e indispensabilità dei dati rispetto allefinalità perseguite e all'incarico conferito. Unavolta conclusa la specifica attività investigativa, il trattamento deve cessarein ogni sua forma, fatta eccezione per l'immediata comunicazione al difensore oal soggetto che ha conferito l'incarico i quali possono consentire, anche insede di mandato, l'eventuale conservazione temporanea di materiale strettamentepersonale dei soggetti che hanno curato l'attività svolta, ai soli finidell'eventuale dimostrazione della liceità e correttezza del proprio operato.Se è stato contestato il trattamento il difensore o il soggetto che haconferito l'incarico possono anche fornire all'investigatore il materialenecessario per dimostrare la liceità e correttezza del proprio operato, per iltempo a ciò strettamente necessario. Lasola pendenza del procedimento al quale l'investigazione è collegata, ovvero ilpassaggio ad altre fasi di giudizio in attesa della formazione del giudicato, noncostituiscono, di per se stessi, una giustificazione valida per laconservazione dei dati da parte dell'investigatore privato. 6) Comunicazione e diffusione dei dati. Idati possono essere comunicati unicamente al soggetto che ha conferitol'incarico. Idati non possono essere comunicati ad un altro investigatore privato, salvo chequesti sia stato indicato nominativamente nell'atto di incarico e lacomunicazione sia necessaria per lo svolgimento dei compiti affidati. Idati idonei a rivelare lo stato di salute possono essere comunicati alleautorità competenti solo se ciò è necessario per finalità di prevenzione,accertamento o repressione dei reati, con l'osservanza delle norme che regolanola materia. Idati relativi allo stato di salute e alla vita sessuale non possono esserediffusi. 7) Richieste di autorizzazione titolari dei trattamenti che rientrano nell'ambito di applicazione dellapresente autorizzazione non sono tenuti a presentare una richiesta diautorizzazione a questa Autorità, qualora il trattamento che si intendeeffettuare sia conforme alle prescrizioni suddette. Lerichieste di autorizzazione pervenute o che perverranno anche successivamentealla data di adozione del presente provvedimento, devono intendersi accolte neitermini di cui al provvedimento medesimo. IlGarante non prenderà in considerazione richieste di autorizzazione pertrattamenti da effettuarsi in difformità alle prescrizioni del presenteprovvedimento, salvo che, ai sensi dell'art. 41 del Codice, il loroaccoglimento sia giustificato da circostanze del tutto particolari o dasituazioni eccezionali non considerate nella presente autorizzazione. 8) Norme finali. Restanofermi gli obblighi previsti dalla normativa comunitaria, ovvero da norme dilegge o di regolamento, che stabiliscono divieti o limiti in materia ditrattamento di dati personali e, in particolare: Restanofermi, in particolare, gli obblighi previsti in tema di liceità e dicorrettezza nell'uso di strumenti o apparecchiature che permettono la raccoltadi informazioni anche sonore o visive, ovvero in tema di accesso a banche datio di cognizione del contenuto della corrispondenza e di comunicazioni oconversazioni telefoniche, telematiche o tra soggetti presenti. Restaferma la facoltà per le persone fisiche di trattare direttamente dati perl'esclusivo fine della tutela di un proprio diritto in sede giudiziaria, anchenell'ambito delle investigazioni relative ad un procedimento penale. In talicasi, il Codice non si applica anche se i dati sono comunicati occasionalmentead una autorità giudiziaria o a terzi, sempre che i dati non siano destinati aduna comunicazione sistematica o alla diffusione (art. 5, comma 3, del Codice). 9) Efficacia temporale e disciplina transitoria. Lapresente autorizzazione ha efficacia a decorrere dal 1° gennaio 2013 fino al 31 dicembre 2013, salve eventuali modifiche che il Garante ritenga di doverapportare in conseguenza di eventuali novità normative rilevanti in materia. Lapresente autorizzazione sarà pubblicata nella Gazzetta Ufficiale dellaRepubblica italiana. Roma, 13 dicembre 2012
|